（最严重的）图片存在word的是一个链接而已。 当我们在断网的情况下（或者拷贝到两一台电脑上）打开word文档的时候 实际上看到的图片是一个链接，也就是说图片转化的不成功。...其实从本质上来说，我们可以看一下转化之后所谓的word文档的格式，（点击另存为，看文件类型）发现其实转化之后的文档的文件类型仍然是.html的格式。...实际开发的过程中不会因为一点问题就换模板的。这样不利于开发和维护。...方便后面用itext包调用） 2.利用iText的jar包，这个jar包是转化pdf用到的，但是转化成word也能用。保存后在word里面的文件类型是.rtf格式的。能够完美解决问题。...成功后的结果： 文件类型： Demo地址： http://download.csdn.net/download/wht21888/10120532 具体的方式在Demo里有，有什么问题或者你有更好的方式
接下来，嵌入Word文档中的基于VBA的指令会读取精心构建的Excel电子表格单元以创建宏。这个宏将使用附加的VBA宏填充同一XLS文档中的附加单元格，从而禁用Office的安全防御功能。...一旦宏被写入并准备就绪，Word文档就会将注册表中的策略设置为“禁用Excel宏警告”，并从Excel文件中调用恶意宏函数。...对于Zloader，恶意软件会使用Word中的信息更新电子表格单元格的内容。Word文档可以读取下载的.XLS文件中特定Excel单元格的内容，然后使用基于Word的VBA指令填充Excel文档。...禁用Excel宏警告 恶意软件的开发人员通过在Word文档中嵌入指令，从Excel单元格中提取内容，实现了警告绕过。...在禁用信任访问后，恶意软件将创建并执行一个新的Excel VBA，然后触发Zloader的下载行为。
文件验证失败 文件是使用“在受保护的视图中打开”选项打开的 文件是从其他人的 OneDrive 存储中打开的 XLM / Macro 4.0 （excel宏钓鱼） excel下有宏功能，可以用来执行命令...：每次打开已有文档时 AutoClose：每次关闭文档时 AutoExit：退出 Word 或卸载全局模板时 保存为docm（启用宏的word文档） 打开文件，就蹦出计算器了。...（前提是在信任中心设置开启所有宏） 当然，一般情况下打开此类文件会显示 启用内容后就会弹计算器了 Word DDE 在word文件里，输入 ctrl+F9,进入到域代码编辑。...我们可以键入以下代码使文件在被打开时执行系统命令（word2019复现未成功，word2016成功，似乎是word版本问题 这个蛮实用的，目前众多word是默认禁用宏的，dde只需要用户点击两个按钮即可执行...然后在带模板的文档的压缩包里面修改一些内容，使其指向的模板修改为我们自己创建的模板文件，这之间的过程可以由smb协议完成，故过查杀几率较高。 我们在启用宏的模板文件（doc3.dotm)里写入宏。
现在Office的宏功能已经默认是禁用。...默认情况下，Office已经禁用所有宏，但仍会在打开Word文档的时候发出通知。...文档的URL 将DOCX解压后的内容再以存储模式压缩为ZIP 修改后缀名为DOCX，打开后即可实现远程注入宏文档 按照上述Word宏钓鱼方法制作，保存时保存类型为 dotm ， fish.dotm, 开启...这个功能的本意是为了更方便地在 word 里同步更新其它应用的内容，比如说在一个 word 文档里引用了另一个 excel 表格里的某项内容，通过连接域 (Field) 的方式可以实现在 excel 里更新内容后...word 中同步更新的效果，问题出在这个域的内容可以是一个公式 (或者说表达式)，这个公式并不限制内容。
下面我就以威胁分析员的角度来介绍几种技术 VBA stomping VBA 在 Office 文档中可以以下面三种形式存在 1、源代码: 宏模块的原始源代码被压缩，并存储在模块流的末尾。...（64 位）打开生成后的文档 ?...2007(x86) 8800 2010(x86) 9700 2013(x86) A300 2016(x86) AF00 在 VBA 编辑器中隐藏宏 可以在 VBA 编辑器中隐藏真正的宏，只需要修改 PROJECT...当启动 word 时，会启动 excel 并弹出 excel 旧版宏警告，点击禁用宏后还会启动第二个 excel，一共启动五次，用户体验极差，当 excel 处理完成之后才会弹出 Word 文档 ?...”重命名为“no_macros_here.txt” 2、更新“word / _rels / document.xml.rels”中的关系 3、在“[Content_Types] .xml”中，将“bin
安全公司的研究人员近日发现了一个新的微软Office 零日漏洞，该漏洞利用微软诊断工具（MSDT）来运行恶意的PowerShell命令，只需打开Word文档。...安全研究人员nao_sec无意中遇到了从白俄罗斯的一个IP地址提交给在线查毒网站Virus Total的一份恶意Word文档，因此偶然发现了这个漏洞。 一个值得关注的恶意文档从白俄罗斯提交。...安全研究人员Kevin Beaumont进一步分析了代码后解释道，即使宏脚本明明已被禁用，微软Word也会执行调用MSDT的命令行字符串。...虽然微软Office中的受保护视图（Protected View）功能确实发出警告，提醒用户注意可能恶意的文件，但只要将文档更改为富文本格式（RTF）文件，就可以避开这种警告机制，导致该文档运行漏洞利用代码...该漏洞目前存在于Office 2013、Office 2016、修补版的Office 2021以及全面更新的Office Pro Plus 2019中。
基于宏的(类型III：Office文档)：VBA语言是一种灵活而强大的工具，旨在自动编辑任务并向文档添加动态功能。...虽然Office应用需要用户的明确同意才能从文档中执行宏，但攻击者使用社交工程技术来欺骗用户允许执行宏。...脚本是通用的，可以通过双击)或直接在解释器的命令行上执行，从文件(运行脚本。在命令行上运行允许恶意软件将恶意脚本编码为自动启动注册表项内的服务，作为WMI存储库中的WMI事件订阅。...利用Microsoft Word宏2016年，“无文件”恶意软件的发展又出现了新的特点。...防护手段禁用或限制系统内置的工具或脚本，如关闭Office文档的宏功能，禁用或限制Rundll32、Powershell、Mshta等程序的执行。
2016年中，FireEye认为APT32独有的恶意软件在全球酒店业开发商计划扩大越南的业务时，在网络中被发现的。...2015年和2016年，两家越南媒体都面临着恶意软件的攻击，FireEye评估属于APT32 2017年，攻击者在社会工程中的内容诱饵上提供证据，证明他们是在澳大利亚的越南移民以及菲律宾的政府雇员。...这些文件可能是通过将Word文档导出到单个文件网页创建的。 表2包含了已经恢复的APT32多语言诱饵文件示例。 ?...图3：包含用于附加跟踪的HTML钓鱼图像标签 打开具有此功能的文档时，即便禁用了宏，Microsoft Word也会尝试下载外部图像。在分析所有的钓鱼诱饵后，外部图像不存在。...图5显示了APT32成功通过钓鱼诱饵利用动态注入两个多阶段恶意框架到内存的事件链。 ? 图5：APT32钓鱼链事件 令人印象深刻的是APT32操作并未没有在受害环境建立立足点后停止。
近日，网络安全研究员nao_sec发现了一个从白俄罗斯上传至分析服务网站VirusTotal的恶意Word文档（文件名为" 05-2022-0438.doc "）。...“该文档使用 Word远程模板功能从远程网络服务器检索HTML文件，该服务器又使用ms-msdt MSProtocol URI方案加载一些代码并执行一些 PowerShell”，在他的分析中这样写道，“...这里发生的一些事情比较复杂，而首当其冲的问题是即使禁用了宏，Microsoft Word 也会通过msdt（一种支持工具）执行代码。...受保护的视图确实起了作用，可尽管如果您将文档更改为RTF形式，它甚至无需打开文档，仅通过资源管理器中的预览选项卡即可运行，更不用说受保护的视图了。”...据了解，该零日漏洞会影响多个Microsoft Office版本，包括Office、Office2016和Office 2021。
，软件设计者为了让人们在使用软件进行工作时，避免一再地重复相同的动作而设计出来的一种工具，它利用简单的语法，把常用的动作写成宏，在工作时就可以直接利用事先编好的宏自动运行，去完成某项特定的任务，而不必再重复相同的动作...，目的是让用户文档中的一些任务自动化，虽然Office宏会给我们的工作带来便利，但是也埋下了巨大的安全隐患。...Listener Step 4：之后生成恶意宏代码 Step 5：之后在word简历中插入恶意宏代码，首先转到"视图->宏->查看宏' 之后新建宏名——shell 清空所有代码，然后将复制的代码粘贴到编辑器中...之后将其保存为启用宏的word文档，这里选择"否" Step 6：之后将恶意简历发送给受害者用户 Step 7：当用户打开文档并启用宏时，可以成功得到shell 这里因为默认情况下，信任中的的宏设置为..."禁用所有的宏，并发出通知"，所以需要用户主动点击启动宏： 如果你觉得.dotcm容易引起受害者的怀疑，那么你可以这样做： Step 1：将具有恶意宏文件的dotm文件上传到服务器并开启监听 Step
Office在文档中嵌入对象极大的方便了我们的日常使用，但同时也为我们带来了众多安全问题。可以说，Office文档为攻击者提供了各种方法来诱骗受害者运行任意代码。...在Office 2016和Office 365还添加了其它的安全措施（如GPO等），这样当用户从Internet下载文档时宏将完全被禁用，以及阻止在Packer文件扩展名黑名单列表中的文件类型运行。...在2018年8月的补丁更新中，微软还发布了一个修复程序，即如果不是从%WinDir%\ImmersiveControlPanel.打开这些文件的，则会进行阻止。...POC 以下PowerShell脚本将尝试创建包含嵌入式Internet Explorer对象的Word文档。...受保护视图 如上所述，当Office文档包含Web标记)时，则会向用户表明它是从Internet下载的。这种情况下，文档将在受保护的视图中打开。在此模式下，将禁用文档中存在的任何嵌入对象。
Office VBA + AMSI 当然amsi也可以检测vba和Java script 在实战中，使用宏攻击（钓鱼）也是我们常用的手法，所以我们要知道amsi对宏文件的检测流程 在微软文档中我们可以看到...通过阅读理解微软文档我们可以知道amsi对宏的检测查杀流程： 1.word等等钓鱼文件加载宏 2.VBA宏运行时,运行时会有一个循环的缓冲区中记录数据和参数调用Win32,COM, VBA等等api的情况...在涵盖攻击链各个阶段的操作（例如，有效载荷下载、持久性、执行等都会检测高风险函数或触发器的列表，并根据它们在恶意和良性宏中的普遍性进行选择。...Office 365 AMSI 用户配置 > 管理模板 > Microsoft Office 2016 > 安全设置 1.对所有文档禁用：如果对所有文档禁用该功能，则不会对启用的宏执行运行时扫描。...2.为低信任文档启用：如果为低信任文档启用该功能，则将为启用宏的所有文档启用该功能，除了： 在宏安全设置设置为“启用所有宏”时打开的文档 从可信位置打开的文档 作为受信任文档的文档 包含由可信发布者数字签名的
文件后缀-钓鱼伪装-RLO 经过免杀后的exe程序(xgpj.exe)，进行重命名，在gpl位置插入Unicode控制字符，RLO(从左到右覆盖)，如图 成功上线 后续修改图标，进行钓鱼伪装...恶意文档从Word远程模板功能从远程Web服务器检索HTML文件， 通过ms-msdt MSProtocol URI方法来执行恶意PowerShell代码。...此工具的恶意文档无需用户交互即可调用它。导致在宏被禁用的情况下，恶意文档依旧可以使用ms-msdt URI执行任意PowerShell代码。...目前已知影响的版本为： office 2021 Lts office 2019 office 2016 Office 2013 Office ProPlus Office 365 测试： msdt.exe...office 2013 office 2016
0x02 使用Word文档进行钓鱼的若干种姿势 1.Word宏上线的变种姿势（缺陷Word宏） 众所周知，学习Word宏钓鱼的第一步就是使用Cobalt Strike生成一个恶意宏。...这个功能的本意是为了更方便地在 word 里同步更新其它应用的内容，比如说在一个 word 文档里引用了另一个 excel 表格里的某项内容，通过连接域 (Field) 的方式可以实现在 excel 里更新内容后...word 中同步更新的效果，问题出在这个域的内容可以是一个公式 (或者说表达式)，这个公式并不限制内容。...-隐藏，即可把我们的恶意代码隐藏起来（不然别人打开的时候会看到） 这里不得不提一嘴，在2016版本以及以上的Excel文档中，如果你想让Excel文档包含宏，那么它的后缀必须被命名为xlsm，但是在之前的版本中...，随着主流杀软的不断更新，文档钓鱼越来越难做，如果不借助宏免杀工具或者是新出的Office类产品漏洞，很难对目标起到什么作用。
，就可以直接利用事先编好的宏自动运行，去完成某项特定的任务，而不必再重复相同的动作，目的是让用户文档中的一些任务自动化。...计算机里面的宏叫做Macro，是一种批量批处理的称谓。Word中对宏定义为：“宏就是能组织到一起作为一独立的命令使用的一系列word命令，它能使日常工作变得更容易”。...Microsoft Office使用宏语言VBA将宏作为一系列指令来编写。 宏可能引起宏病毒，它是一种寄存在文档或模板的宏中的计算机病毒。...然后打开word编辑器，点击视图，然后点击宏，自定义输入一个宏名，点击创建 将原本自带的代码清空，然后复制CobaltStrike生成的代码，保存退出 将该文档伪装后可通过钓鱼等手段发送给受害者...，只要受害者是使用word打开，并且开启了宏，CobaltStrike就可以接收到受害者主机的shell word开启禁用宏方法：文件—选项—信任中心—信任中心设置 参考文章 http://www.scantime.cn
利用宏规则散布恶意程序已成为众所周知的途径，因此许多人都通过禁用宏规来保护信息安全。但如今，“宏”似乎变成了一个可以绕过的障碍。...此前的Word 0-day漏洞就无需启用宏，只需打开文档便可植入恶意程序。...Sensepost表示微软在2016版的Outlook中修补了一些原有的漏洞，因此他们自己开发的“Ruler”工具已经无法发动攻击。...同时，越来越多的机构都开始”禁用宏“，因此Sensepost试图寻找其他的攻击方式。...获得储存的），这部分内容并没有记录到说明文档中。
在感染NORMAL.DOT之前在Microsoft Word下打开受感染的文档时，该病毒将获得AutoOpen宏的控制权，并感染选定的全局默认模板通常为NORMAL.DOT 之后使用File | SaveAS...当打开受感染的文档时，屏幕上会出现一个带有文本“ 1”的消息框 Word.Macro.Nuclear 核中的所有宏都受到保护，无法对其进行查看或编辑。..., Toolsmacro等等 Word.Macro.Hot 此病毒在会WINWORD6.INI配置文件中创建一个包含“hot date”的条目。...，我们可以使用恶意软件清除工具进行程序检测并清除宏病毒 并且在使用电脑时中不要立即打开电子邮件或电子邮件附件，并且保持防病毒软件的更新。...尽量也不要点击弹出式广告 总结一句话：禁用宏
该款恶意软件以4000台/小时速度传播，这意味着每天会出现100000台新感染的计算机。在2016年这的确是一个很难接受的事实，一个带有宏病毒的微软文档也可以轻松破坏你的计算机系统。...恶意软件Locky可以以附件的形式添加进microsoft office 365 或Outlook中（Word文件中嵌入恶意的宏），宏”的概念可以追溯到上世纪90年代，你可能很了解这样一个信息提示：隐私问题警告...：此文档中包含宏，现在恶意宏病毒回来了，而这种方式也作为恶意攻击攻击计算机系统的一种新方式。...一旦计算机用户打开文件，那么文档就会自动运行宏。一旦计算机用户打开一个恶意word文档，文档被打开接下来病毒就会感染计算机系统。...Kevin在博客中表示： 我估计每天会新增100000台感染该类恶意软件的计算机，该事件是这三天发生的重大安全事件，约25万台个人电脑将会被感染。”
作用和影响 atlassian.forceSchemaUpdate 1.0 false atlassian-config 在默认的情况下，Confluence 只会在侦测到数据库更新后才会运行数据库 schema...Confluence 将会对 Word 文档中的内容进行解压，但是可以解压的 Word 文档大小有限制（默认限制为 16MB）。这样的设置可能导致你只有部分文件内容可以检索到。...这个是因为在创建新页面版本的时候 Confluence 可能尝试在每次插件安装或者更新的时候合并页面中不是 Wiki 标记的内容。...Confluence 将会对 Word 文档中的内容进行解压，但是可以解压的 Word 文档大小有限制（默认限制为 16MB）。这样的设置可能导致你只有部分文件内容可以检索到。...这个是因为在创建新页面版本的时候 Confluence 可能尝试在每次插件安装或者更新的时候合并页面中不是 Wiki 标记的内容。
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
