恶意文档分析

何时使用 / 何时不用

• 用：钓鱼附件（PDF/Office/RTF）、文档漏洞利用样本、宏文档、文档型恶意载荷
• 用：仅拿到单文档样本，需还原载荷提取链（宏 → 脚本 → 可执行 → 回连）
• 不用：纯脚本宏（转 [[re-script-deob]]）；文档仅是载体（核心逻辑在下载载荷）
• 不用：只有网页/邮件网关侧元数据（无样本文件本身）——先要样本再分析
• 注意：动态打开文档必须沙箱（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）；文档可能检测环境后不触发（见坑 6）

工具准备

pdf-parser / pdfid（PDF 结构分析）

• Linux: apt install pdf-parser pdfid（Kali 常预装；Debian/Ubuntu 仓库同名包）或 GitHub DidierStevens/DidierStevensSuite 源码运行；macOS: brew install pdf-parser / pip
• Windows: pip（WSL 亦可）
• 验证: pdf-parser --version（无则 python3 pdf_parser.py --help）；pdfid.py sample.pdf 能输出对象计数
• 补充（备注：peepdf 已归档、Python 2 时代，PyPI 仅 0.3.6——首选 pdf-parser/pdfid）

qpdf（PDF 流解压，可选）

• Linux: apt install qpdf；macOS: brew install qpdf
• 验证: qpdf --version
• 用途: 展开对象流/压缩流为可读形式（qpdf --qdf --object-streams=disable in.pdf out.pdf），配合 -d dump 对照

olevba / rtfobj（Office/RTF 宏与嵌入对象提取）

• 多平台: pip install oletools（oletools 内含 olevba、rtfobj、oleobj、msodde、oleid、mraptor 等）
• 验证: olevba --help；rtfobj --help
• 注意: oledump 不在 oletools 包内——是独立工具（GitHub DidierStevens/DidierStevensSuite 取 oledump.py，需 pip install olefile 依赖；python3 oledump.py -s <流号> <文件> 按流转储）

xlmdeobfuscator（Excel 4.0 宏去混淆，可选）

• pip install xlmdeobfuscator
• 验证: xlmdeobfuscator --help
• 适用: .xls 里的 XLM 宏表（olevba 0.54+ 已能识别 XLM，混淆深时用本工具还原）

LibreOffice（沙箱打开验证，可选）

• Linux: apt install libreoffice / dnf install libreoffice；macOS: brew install --cask libreoffice；Windows: 官方安装包
• 验证: libreoffice --version
• 注意: LibreOffice 默认不执行 VBA 宏（宏安全性限制）——沙箱里要验证宏行为需装真实 Office 或改 LibreOffice 宏安全设置（见 [[gotchas]]）

7z（OLE/OOXML 解包）

• Linux: apt install p7zip-full；macOS: brew install sevenzip；Windows: 官方安装包
• 验证: 7z --help
• 7z 可直接列出 OLE 复合文档内部流（WordDocument/1Table/VBA/PROJECT 等）与 OOXML 包内文件

操作步骤

按顺序执行；每步产物存档（路径 + sha256，见 [[re-triage]]）。

1. 文档类型识别：

   file sample.pdf sample.docm sample.rtf
   

   • PDF：%PDF 头；Office 旧格式：CFB（OLE 复合文档，D0 CF 11 E0）；OOXML：zip（PK）；RTF：{\rtf
   • 类型决定后续工具链；多类型混合（如 PDF 内嵌 OLE）按各分支分别走

2. PDF 静态分析：

   pdfid.py sample.pdf                       # 对象计数，恶意特征速览
   pdf-parser -f sample.pdf | head -50       # 对象树遍历（-f 经过 filter 解压流）
   pdf-parser -s /JS sample.pdf              # JavaScript 动作
   pdf-parser -s /OpenAction sample.pdf      # 打开即执行动作
   pdf-parser -O sample.pdf                  # 解析对象流（ObjStm）内的对象
   

   • 恶意特征：/JS（JavaScript 动作）、/OpenAction（打开触发）、/AA（附加动作，页级/文档级）、/Launch（外部程序）、/EmbeddedFile（嵌入文件）、/RichMedia（Flash 遗留）
   • 漏洞文档：/JBIG2Decode（JBIG2 漏洞）、/RichMedia 等 CVE 对应结构——按结构特征（非版本号）对照已知利用模式
   • JS 载荷 → [[re-script-deob]] 还原；结构可疑但对象树不全时先 qpdf --qdf --object-streams=disable 展开再看

3. Office 宏提取：

   olevba -c sample.docm > macro.txt        # 提取宏源码（-c 只输出源码）
   olevba --decode -c sample.docm > macro_decoded.txt  # 自动解常见字符串混淆（--decode 自 oletools 0.24 起；源码内解码串显示用 --reveal）
   olevba --deobf -c sample.docm            # 表达式级去混淆（0.46+）
   strings sample.docm | grep -iE 'DDEAUTO|http|powershell' | head
   

   • 宏链入口：Word Document_Open / AutoOpen / AutoExec；Excel Workbook_Open / Auto_Open；表单控件/快捷键/自定义按钮触发也不少见
   • 其他向量：DDE 域（DDEAUTO，较新 Word 默认禁用——旧版仍触发）、外部链接（/hyperlink）、OLE 嵌入对象（oleobj 提取后逐个分析）、Excel 4.0 XLM 宏表（xlmdeobfuscator）
   • olevba 输出警告 VBA stomping 时注意：实际执行的是 P-code 而非提取出的源码（见坑 2）
   • 宏载荷 → [[re-script-deob]] 去混淆链

4. RTF 分析：

   rtfobj sample.rtf        # 列出嵌入 OLE 对象与 CLSID
   

   • RTF 可整篇 \'XX 十六进制转义混淆——先还原转义再查关键字
   • 嵌入对象（\objdata）提取后按 OLE/CFB 分支继续；漏洞文档常见 \pict 内嵌数据

5. 模板注入与关系文件（OOXML）：

   7z l sample.docx | head -40
   7z x sample.docx -oext/
   grep -r 'TargetMode="External"' ext/word/_rels/ 2>/dev/null
   

   • 检查全部 rels 文件：document.xml.rels 中 attachedTemplate / externalLink 外部目标 = 远程模板注入
   • 模板注入让文档无宏也有外联行为（远程模板带宏）——解包后逐个 rels 核对

6. 载荷提取：

   • 提取项：脚本/URL/二进制/多级载荷（每层存档编号 + sha256，路径与哈希进 [[re-analyze/analysis-contract]]）
   • 指标提取 → [[re-ioc]]（URL/域名/哈希）；提取物初勘 → [[re-triage]]
   • 多级链（文档 → 脚本 → 下载器 → 可执行）逐层展开，每层注明触发方式

7. 动态验证（沙箱）：

   • [[re-sandbox]] 内用 LibreOffice/阅读器打开，网络隔离（INetSim/fake DNS）
   • 观察：文件释放、进程链、网络回连（[[re-behavior]] 衔接）；延长观察窗口、模拟用户交互对抗延迟执行（见坑 6）
   • 宏执行验证优先用真实 Office（LibreOffice 默认不执行 VBA，见工具准备）

跨域联合

• [[re-malware]] 网关：本技能归属（选择树「钓鱼附件」分支）
• [[re-script-deob]]：宏/JS 去混淆还原
• [[re-sandbox]]：动态打开强制前置
• [[re-ioc]]：提取指标
• [[re-behavior]]：行为验证衔接
• [[re-triage]]：哈希/初勘与载荷提取存证

常见坑与陷阱

• PDF 对象流压缩未解：现象——pdf-parser 输出无 /JS；原因——对象在 FlateDecode 压缩流或 ObjStm 内；对策——-f 强制解压、-O 展开对象流再查
• VBA stomping（执行与源码不一致）：现象——olevba 提取的源码看起来无害/乱码，但动态行为异常；原因——Office 执行编译后的 P-code，源码只是存档（可被替换/截断）；对策——olevba 警告时以动态行为为准，必要时 pcodedmp 反汇编 P-code 对照
• 宏被混淆：现象——olevba 提取后满屏拼接/编码；原因——宏混淆；对策——--decode/--reveal/--deobf 逐层解，[[re-script-deob]] 去混淆链
• 文档漏洞版本特征：现象——结构特征与已知 CVE 不符；原因——利用代码针对特定版本；对策——按结构特征（非版本号）对照利用模式，标注版本假设
• MOTW 拦宏（沙箱执行失败）：现象——沙箱里打开文档宏不触发；原因——下载文件带 Mark-of-the-Web（Zone.Identifier），Office 2016+ 默认拦截其宏；对策——Windows 侧 Unblock-File（PowerShell）或删 Zone.Identifier ADS 后再开；检测型文档见坑 6
• 沙箱检测文档（延迟执行）：现象——沙箱内无行为；原因——文档检测环境后不触发或推迟触发；对策——延长观察窗口、模拟用户交互（滚动/点击/Office 版本核对）
• 模板注入易漏：现象——宏正常但仍有外联；原因——/word/_rels 远程模板；对策——解包后检查全部 rels 文件（步骤 5）
• 工具差异与更多边界（oledump 用法、RTF 反例、LibreOffice 宏设置）见 [[gotchas]] 与 [[decision-tree]]