开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

社区首页 >专栏 >应急响应 - Tips

应急响应 - Tips

作者头像

Khan安全团队

发布于 2022-04-02 11:07:03

8180

发布于 2022-04-02 11:07:03

举报

文章被收录于专栏：Khan安全团队

如何证明恶意的宏被启用和点击了？

HKEY_LOCAL_MACHINE\USERDAT\Software\Microsoft\Office\<VERS>\<PROGRAM>\Security\Trusted Documents\TrustRecords

只寻找最后四个字节是 "FF FF FF 7F "的值。

这些文件已经启用了宏程序

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2022-02-23，如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Khan安全攻防实验室微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与腾讯云自媒体同步曝光计划，欢迎热爱写作的你一起参与！

评论

登录后参与评论

0 条评论

热度

最新

LV.