为 Word 和 Excel 文档添加了狡猾的远程模板注入器；独特的 Outlook 群发邮件宏 ESET 研究人员发现了几个以前未被记录的攻击后工具，这些工具被高度活跃的 Gamaredon 威胁组织在各种恶意活动中使用...我们还进一步分析了能够将恶意宏和远程模板注入现有 Office 文档的 Gamaredon 工具。...Office 宏注入模块 – CodeBuilder 我们分析了 Gamaredon 小组使用的恶意模块的不同变体，用于将恶意宏或远程模板注入已存在于受感染系统上的文档中。...值得注意的是，有两个文本文件，一个用于 Word，一个用于 Excel，包含要插入目标文档的恶意宏的 VBA 源代码，以及负责查找和破坏现有文档的 .NET 程序集。...恶意软件将每个找到的文档移动到AppData文件夹，使用Microsoft.Office.Interop对象将恶意 Word 或 Excel 宏插入其中，然后将文档移回其原始文件夹。
最近有一个开发需求，将生成的word数据报表以网页格式推送，正好找到一个简单快速转换的模块mammoth。...这篇简短的文章将指导您如何在基于 Python 的 CLI — Mammoth的帮助下，以简单的方式将.docx word 文档转换为简单的网页文档 ( .html ) 或 Markdown 文档 (...您可以使用 Microsoft Word 轻松地做快速笔记、简短报告、教程文档等。...而且，您可能希望将文档内容作为 Web 文档 ( .html )) 或 Markdown 文档 ( .md )与您的一些朋友、同事、客户共享。...然后，打开 CMD 或终端并使用以下命令： pip install mammoth 将Docx 转换为HTML 使用命令行： $ mammoth input_name.docx output_name.html
关于Codecepticon Codecepticon是一款功能强大的代码混淆处理工具，该工具专为红队和紫队渗透测试安全活动而开发，在该工具的帮助下，广大研究人员可以轻松对C#、VBA5/VBA6...（宏）和PowerShell源代码进行混淆处理。...，并且Codecepticon提供了两种使用方法，要么将所有参数放在命令行中。...--config C:\Your\Path\To\The\File.xml （向右滑动、查看更多） C# 运行工具后，直接选择对应的解决方案，即可对C#项目进行混淆处理。...VBA/VBA6 VBA混淆针对的是宏文件源代码本身，而非Microsoft Office文档。
在处理文档时，将Word文件转换为PDF格式是一个常见需求。PDF格式的文档更加标准化，易于分享和阅读，同时也能很好地保持原始布局和格式。...本文将指导你如何在CentOS系统上使用LibreOffice来完成这一任务。...转换命令要将Word文档(.doc或.docx)转换为PDF格式，可以使用以下命令：libreoffice --headless --convert-to pdf your_word_document.docx...your_word_document.docx应替换为你的Word文件名。指定输出目录默认情况下，转换后的PDF文件将保存在原Word文档相同的目录下，并使用相同的文件名（仅扩展名变为.pdf）。...注意事项在使用命令行转换功能时，LibreOffice暂时无法直接通过命令行参数来指定转换后的PDF文件名。转换后的文件名将会和原始Word文档的文件名相同，只是扩展名变为.pdf。
f指定生成vba宏语言的攻击payload 首先新建一个支持文件宏的office文件，以.docm进行演示。...实战 类似office宏还有一些其它利用方式，如DOCX文档远程模板注入执行宏，还可以通过shellcode进行免杀处理。...在实战中，首先尽可能社工目标的各种信息，取得对方信任，根据钓鱼的目标，修改文档的名字，通过邮箱进行发送，如xx公司采购说明。 office宏钓鱼存在几大不适用性： 1、对方电脑未使用office。...使用AES加密来加密给定的shellcode 生成包含加密有效负载的可执行文件 使用各种注入技术将shellcode解密并注入目标系统 ?...本次使用cs进行演示。 1、生成c#的payload ? 2、保留16进制，使用notepad++去除空格 ? 3、复制到payload框中进行加密 ?
推片来源 https://mp.weixin.qq.com/s/YKZ6yWWxOhn2KjTV5lDP7w 2.2 Word宏钓鱼 CS生成宏 打开Word文档，点击 “Word 选项 — 自定义功能区...编写主体内容后，点击 “开发工具 — Visual Basic”，双击 “ThisDocument” ，将原有内容全部清空，然后将宏payload全部粘贴进去，保存并关闭该 VBA 编辑器 。...默认情况下，Office已经禁用所有宏，但仍会在打开Word文档的时候发出通知。...利用Word文档加载附加模板时的缺陷所发起的恶意请求，而达到的攻击目的，所以当目标用户点开攻击者发送的恶意Word文档就可以通过向远程服务器发送恶意请求的方式，然后加载模板执行恶意模板的宏。...文档的URL 将DOCX解压后的内容再以存储模式压缩为ZIP 修改后缀名为DOCX，打开后即可实现远程注入宏文档 按照上述Word宏钓鱼方法制作，保存时保存类型为 dotm ， fish.dotm, 开启
那么关于宏的安装和录制就不在这里详述了，我们再来把视线转向我们今天的主角——宏病毒 宏病毒是一种寄存在文档或模板的宏中的计算机病毒，存在于数据文件或模板中（字处理文档、数据表格、数据库、演示文档等），使用宏语言编写...在Word和其他微软Office系列办公软件中，宏分为两种 内建宏：局部宏，位于文档中，对该文档有效，如文档打开（AutoOpen）、保存、打印、关闭等 全局宏：位于office模板中，为所有文档所共用...使用实现设置好的监听器 ? 复制宏代码 ? 新建一个word文档生成一个宏 ? 找到project里面的Word对象，将代码粘贴 ?...这里我假设已经将word发给了我要钓鱼的主机上，可以使用社工的方法使诱导被害者点击启用这个宏，具体方法我就不说了，师傅们自行拓展 ? 点击过后发现已经上线了 ?...该工具重用了部分Kavod.VBA.Compression代码来实现压缩算法，并且使用了Mono C#编译器实现了在Linux、macOS和Windows平台上的完美运行。
某段数据上标记了字母'M'，表示这段数据中含有VBA宏(Macro）： 宏病毒的激发机制有三种：利用自动运行的宏，修改Word命令和利用Document对象的事件。...越过自动宏（如果怀疑文档中存在宏病毒，可以在Office打开文档的时候，始终按住Shift键，将禁止存在的一起自动宏。）...使用VBA_Password_Bypasser打开这个文档文件就可以正常打开VBA编辑器了，而不需要输入密码。...在最基础的水平上，我们可以使用 Empire 或 Unicorn 来创建一个 VBA 宏： (实际情况，使用empire可以成功反弹shell；使用Unicorn显示生成payload的代码版本不兼容office2016...生成vba代码： word操作 点击上方标签视图标签，在该标签中点击宏按钮，弹出的对话框中输入宏名字，然后单击创建按钮。
微软是不会允许将包含宏的文档命名为 docx，但是可以被命名为老版的 doc。...3、将所有文件再次压缩回一个 xlsm 文件 问题在于只有 excel 能弹出这种宏警告框，如何让 Word 也弹出类似的警告框呢？...当启动 word 时，会启动 excel 并弹出 excel 旧版宏警告，点击禁用宏后还会启动第二个 excel，一共启动五次，用户体验极差，当 excel 处理完成之后才会弹出 Word 文档 ?...内嵌的宏使用了 VBA Stomping，接着使用 Pcodedmp 将 P-Code 反编译出来，解混淆找到 URL 即可 常用的规避杀软的手法 一、目前杀软查杀 VBA 基本上都是静态查杀，所以静态免杀至关重要...推荐使用 WMI 来执行后续攻击链，由 WMI 启动的进程的父进程为 wmiprvse.exe 而不是 word.exe 这样就可以与恶意 word 文档取消关联，规避检测 ?
CobaltStrike 生成宏 ? 打开 Word 文档，点击“Word 选项 — 自定义功能区 — 开发者工具(勾选) — 确定”。 ?...双击 “ThisDocument” ，将原有内容全部清空，然后将 CobaltStrike 生成宏 payload ? 全部粘贴进去，保存并关闭该 VBA 编辑器 。 ?...这里以 EvilClippy 作为演示 用于创建恶意 MS Office 文档的跨平台助手。 可以隐藏 VBA 宏，踩 VBA 代码（通过 P 代 码）并混淆宏分析工具。...无毒正常的 vba 脚本 免杀测试 新建一个包含宏的 docx 文档 ?...这里需要选择否，然后保存为启用宏的 word 文档 ?
CobaltStrike 生成宏 打开 Word 文档，点击“Word 选项 — 自定义功能区 — 开发者工具(勾选) — 确定”。...双击 “ThisDocument” ，将原有内容全部清空，然后将 CobaltStrike 生成宏 payload 全部粘贴进去，保存并关闭该 VBA 编辑器 。...另存为的 Word 类型务必要选”Word 97-2003 文档 (*.doc)”，即 doc 文件，保证低版 本可以打开。之后关闭，再打开即可执行宏代码。...这里以 EvilClippy 作为演示 用于创建恶意 MS Office 文档的跨平台助手。 可以隐藏 VBA 宏，踩 VBA 代码（通过 P 代 码）并混淆宏分析工具。...粘贴 CS 生成宏代码流程 然后粘贴进来 再 Ctrl+S 保存 这里需要选择否，然后保存为启用宏的 word 文档 注意：这里一定要先关闭杀软，不然会保存失败，因为现在还没有做免杀处理
Moniker 对象，利用的是 .net 库漏洞，在 Office 文档中加载执行远程的恶意 .NET 代码，而整个漏洞的罪魁祸首竞是 .NET Framework 一个换行符处理失误。...https://github.com/nccgroup/demiguise Office-DDE-Payloads 这个项目可以生成嵌入 DDE 的 word 和 excel 的模版，可以在进行钓鱼攻击的时候使用...、VBA等）以及恶意的快捷方式，还支持混淆功能，可以将恶意代码自动混淆。...注入到 Office 文档中，在用户打开文档的时候，弹出认证窗口，如果用户在认证框中输入了自己的用户凭证，那么攻击者就可以获得用户的凭证，这在社工钓鱼中非常有用。...https://github.com/threatexpress/metatwin WePWNise 这个工具可以生成能够注入到 Office 文档中的 VBA 脚本，生成的 VBA 脚本在执行的时候可以自动识别系统
其实不难理解，首先我们要知道我们的恶意脚本是如何注入内存执行的 bypass 杀毒软件时我们的脚本一定是模糊处理的，但是无论我们什么样模糊处理到注入内存执行的时候一定是纯净，清晰的代码，不然脚本引擎无法理解和执行我们的恶意脚本...Office VBA + AMSI 当然amsi也可以检测vba和Java script 在实战中，使用宏攻击（钓鱼）也是我们常用的手法，所以我们要知道amsi对宏文件的检测流程 在微软文档中我们可以看到...通过阅读理解微软文档我们可以知道amsi对宏的检测查杀流程： 1.word等等钓鱼文件加载宏 2.VBA宏运行时,运行时会有一个循环的缓冲区中记录数据和参数调用Win32,COM, VBA等等api的情况...2.为低信任文档启用：如果为低信任文档启用该功能，则将为启用宏的所有文档启用该功能，除了： 在宏安全设置设置为“启用所有宏”时打开的文档 从可信位置打开的文档 作为受信任文档的文档 包含由可信发布者数字签名的...VBA 的文档 3.为所有文档启用：如果为所有文档启用该功能，则不会从行为中排除上述类别的文档。
本文演示的例子是，在Excel中使用VBA打开新的Word文档，复制Excel图表并粘贴到这个文档中。同时，介绍了一种你不熟悉Word VBA的情形下怎样获取相关的代码并在Excel中使用的方法。...首先，在Word中，我们录制一个打开新文档的宏。 单击功能区“开发工具”选项卡中的“录制宏”按钮，然后单击“文件——新建——空白文档”，接着单击“开发工具”选项卡中的“停止录制”按钮。...在Word VBA中使用Documents.Add开始，在Excel VBA中修改为WordApp.Documents.Add，并且在VBA代码中通常不需要选择并激活对象，因此，修改后的代码如下： Sub...True Set WordApp = Nothing End Sub 注意，使用VBA打开应用程序时，通常是在后台打开，因此，要使Word文档可见，添加了下面的代码： WordApp.Visible...并创建新文档，然后将Excel工作表中的图表复制到该文档中的代码完成。
接下来，嵌入Word文档中的基于VBA的指令会读取精心构建的Excel电子表格单元以创建宏。这个宏将使用附加的VBA宏填充同一XLS文档中的附加单元格，从而禁用Office的安全防御功能。...对于Zloader，恶意软件会使用Word中的信息更新电子表格单元格的内容。Word文档可以读取下载的.XLS文件中特定Excel单元格的内容，然后使用基于Word的VBA指令填充Excel文档。...而VBA则是微软用于Excel、Word和其他Office程序的编程语言，VBA允许用户使用宏记录器工具创建命令字符串。...在这种情况下，与VBA的其他滥用案例一样，Zloader也会利用这种功能来创建恶意宏脚本。 Excel将记录用户执行的所有步骤，并将其保存为一个名为“process”的宏。...一旦Excel宏被创建并准备好执行，脚本将修改Windows的注册表键以禁用受害者计算机上VBA的信任访问。这使得脚本能够无缝地执行功能，而不会弹出任何的警告。
包含所有office格式的文档3.2 office文档界面方式不打开开发工具标签栏针对office2013的话，通用的打开方式操作步骤如下：使用office2013打开文档→顶部菜单栏选择视图→找到【宏...Excel2013界面找到宏word2013界面找到宏界面如下：PowerPoint 2013界面找到宏界面如下：3.3 使用开发者工具打开VBA编辑器Excel打开开发者工具的步骤如下：功能区任意区域鼠标右键弹出菜单选择...宏：打开宏列表，支持对列表中的宏进行编辑，例如运行、修改、删除等操作。录制宏：点击录制宏可以将键盘和鼠标操作，自动转换成 VBA 代码。这个功能在实际的VBA开发过程中使用非常频繁。...使用相对引用：用来配置录制宏时的选定的单元格。宏安全性：设置 Excel 如何对待包含 VBA 代码的工作簿。...因为存在一些恶意的代码，所以一般将宏安全性设置为禁用3.4 Excel文档内部打开VBA编辑器的方式Excel2013 可以点击最底部的sheet标签页右键查看代码可以打开。
，半生不熟），那么Office 2003是我真正意义上开始较为深入使用的版本，尤其以Excel和Access这两个组件，结合当时的实际工作需要，我使用VBA开发了从简单到复杂的各种小应用。...（通常在默认的文件扩展名后面添加一个x以示区分，如Word 2003的格式是doc，而Word 2007虽然依然支持doc，但更推荐用户使用docx文件格式）。...针对.NET开发人员，微软还专门提供了OpenXML SDK，支持从自定义程序中通过OpenXML的标准操作Office文档（不要求本地安装有Office）。 ?...这里就是我们熟悉的.NET编程的体验，可以用到几乎所有.NET Framework的功能，目前VSTO支持的开发语言除了VB.NET，还有C#。...必须提出的是，微软对于VBA和VSTO的支持将继续保留，它们有自己的优势，尤其是对于Office 应用程序自有功能的自动化、快速开发、在本地使用的场景。
虽然Zebrocy最初是用Delphi（称为Delphocy）编写的，但此后已被用六种语言实现，包括AutoIT，C ++，C＃，Go，Python和VB.NET。...总体来说，我们发现了6个与这个集群相关的Delphocy Word文档，它们都包含相同的删除PE文件的VBA脚本。...我们展示了研究人员如何绕过密码保护宏，并描述了如何使用IDR（交互式Delphi重构器）反编译Delphi，以及如何使用dhrake的插件将保存的IDC文件导入Ghidra。...二.绕过VBA宏密码保护 在使用VBA宏分析Office文档时，攻击者有许多不同的工具和技术来完成这项工作，但我已经养成了一个习惯。...= 5.保存更改的文件 当打开Word文档并查看宏时，您可以看到脚本和表单。
以下就是我如何使用 python-docx 库从 Word 文档中提取数据的步骤和示例代码：1、问题背景我们需要从微软 Word 文件中提取数据到数据库中，以便可以从网络界面中查看这些数据。...2、解决方案我们提出了几种可能的解决方案来完成这一任务：使用 Word 中的 VBA 宏来创建 CSV 文件，然后将 CSV 文件上传到数据库中。...使用 Word 中的 VBA 宏连接到数据库，然后将数据直接插入到数据库中。使用 Python 脚本通过 win32com 来提取数据，然后将数据上传到数据库中。...使用 VBA 宏从 Word 中提取数据，并使用 Left() 函数来去除字符串末尾的小方框字符。...对于第二种方案，使用 VBA 宏从 Word 中提取数据，并使用 Left() 函数来去除字符串末尾的小方框字符。
这时候，就该轮到【宏】登场了。 短评：「Visual Basic（VB.NET）和VBA以及宏的区别」 VBA是Excel编程所用的语言，而VBE编程所用的开发环境。...VBA同Visual Basic（VB.NET）的区别是，VBA是运行在Excel，Word或Access等Office程序上的编程语言，它是从VB基础上改良的，可以直接作为Excel，Word或Access...想实现同样的功能，使用Visual Basic（VB.NET）要比使用VBA多写很多行程序。 宏命令，说到底也就是记录操作步骤的一种功能。记录内容本质上是用VBA语言编写和保存的一段代码。...先使用宏将操作步骤记录为一段程序，然后针对这段程序进行再编辑，就能实现更加丰富的功能。...比如将图1中的手动操作用宏来实现。初次创建宏时使用［录制宏］功能就可以了。 首先，单击［开发工具］选项卡，然后单击［录制宏］。在［录制宏］的界面上，将［宏名称］指定为「拷贝粘贴」。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
