搜索

[15768] 2020-08-24_Office文件追踪方案探索

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-24_Office文件追踪方案探索 O f f i c e 文 件 追 踪 方 案 探 索 原 创   d a t a s e c   F r e e B u f   2 0 2 0 - 0 8 - 2 4 背 景 背 景 o f f i c e 套 件 已 经 成 为 大 家 日 常 办 公 必 不 可 少 的 工 具 ， 丰 富 的 文 字 编 辑 、 演 示 文 稿 以 及 数 据 处 理 能 力 ， 无 一 不 展 示 其 强 大 的 功 能 。 然 后 随 着 形 式 的 多 样 性 ， 文 件 的 保 存 和 传 输 让 o f f i c e 成 为 共 享 、 协 同 的 常 用 方 案 ， 而 对 于 一 些 包 含 敏 感 数 据 的 文 件 ， 当 文 件 被 有 意 或 无 意 泄 漏 ， 可 能 就 会 对 企 业 造 成 无 法 挽 回 的 损 失 。 本 文 将 对 w o r d 和 e x c e l 文 件 的 追 踪 方 案 进 行 探 索 ， 通 过 对 文 件 植 入 U R L ， 当 文 件 被 打 开 时 ， 即 可 自 动 触 发 H T T P 请 求 ， 从 而 获 取 I P 等 定 位 信 息 ， 间 接 降 低 敏 感 数 据 恶 意 扩 散 传 播 的 风 险 。 w o r d 文 件 追 踪 文 件 追 踪 对 于 w o r d 文 件 的 追 踪 ， 首 先 打 开 w o r d ， 新 建 文 档 的 时 候 ， 会 出 现 选 择 模 板 的 界 面 ： 这 里 随 便 选 择 一 个 模 板 ， 例 如 这 里 的 “ 做 笔 记 ” ， 然 后 直 接 保 存 为 t e s t . d o c x 。 这 里 要 说 明 的 一 个 知 识 点 是 ， o f f i c e 文 件 本 质 上 是 一 个 压 缩 包 ， 是 有 很 多 x m l 和 一 些 其 他 类 型 文 件 打 包 成 的 ， 所 以 该 d o c x 是 可 以 解 压 缩 的 ， 至 于 如 何 解 压 缩 ， W i n d o w s 上 多 数 可 以 直 接 解 压 ， M a c 上 可 以 改 一 下 后 缀 为 t e s t . r a r ， 然 后 解 压 。 解 压 之 后 一 般 都 会 看 _ r e l s 、 [ C o n t e n t _ T y p e s ] . x m l 、 d o c P r o p s 、 w o r d 。 这 里 不 对 文 件 展 开 来 介 绍 了 ， 有 兴 趣 的 可 以 自 行 了 解 ， 前 三 个 文 件 ( 夹 ) 基 本 都 是 本 身 的 全 局 配 置 ， o f f i c e 系 列 的 文 件 这 些 基 本 都 一 致 ， 而 w o r d 文 件 夹 就 是 针 对 d o c x 特 有 的 了 ， 主 要 包 含 了 整 个 w o r d 内 容 ； 查 看 _ r e l s 文 件 夹 中 ， 会 发 现 有 一 个 叫 做 s e t t i n g s . x m l . r e l s 的 文 件 ， 用 记 事 本 打 开 后 内 容 大 致 为 ： 可 以 看 出 ， 这 是 创 建 文 件 夹 时 选 用 的 模 板 配 置 文 件 ， T a r g e t 指 向 了 一 个 本 地 路 径 ， 重 点 来 了 ， 我 们 嵌 入 的 链 接 就 是 在 这 里 做 文 章 ， o f f i c e 本 身 支 持 T a r g e t M o d e 为 E x t e r n a l 的 方 式 ， 也 就 是 外 部 引 用 的 方 式 ， 实 际 上 不 仅 是 本 地 路 径 ， 也 可 以 是 一 个 外 部 U R L ， 并 且 这 段 引 用 是 在 文 件 打 开 后 自 动 去 解 析 寻 找 。 这 里 就 可 以 将 它 换 成 一 个 自 己 的 “ 钓 鱼 ” 链 接 即 可 ， 然 后 重 新 打 包 成 d o c x 。 这 里 出 现 的 第 一 个 问 题 就 是 ： 手 动 打 包 后 ， 打 开 文 件 基 本 上 都 会 弹 窗 告 警 文 件 损 坏 之 类 的 ， 其 实 是 解 压 后 ， 目 录 生 成 了 一 些 隐 藏 文 件 不 干 净 导 致 的 ， 用 程 序 自 动 化 做 ， 一 般 不 会 有 问 题 ； 第 二 个 问 题 就 是 ， 这 里 是 用 固 定 的 模 板 格 式 修 改 的 ， 对 于 那 些 任 意 格 式 的 d o c x 文 件 ， 如 何 利 用 这 种 方 式 嵌 入 呢 ？ 任 意 内 容 的 任 意 内 容 的 d o c x 文 件 嵌 入 文 件 嵌 入 想 要 修 改 任 何 文 件 都 能 达 到 这 样 的 效 果 ， 就 要 对 模 板 引 用 的 生 成 原 理 要 了 解 ， 其 实 上 面 所 看 到 的 是 模 板 的 配 置 文 件 ， 但 是 并 没 有 看 到 对 应 的 引 用 文 件 ， 不 引 用 它 ， 是 不 会 执 行 的 ， 甚 至 会 打 开 报 错 。 这 里 就 要 打 开 w o r d / s e t t i n g s . x m l 文 件 ， 可 以 在 x m l 中 找 到 这 里 就 是 引 用 了 刚 刚 的 模 板 ， 其 中 a t t a c h e d T e m p l a t e 就 是 模 板 类 型 ， r I d 1 就 是 编 号 ， 是 和 上 述 的 文 件 中 I d 对 应 的 。 所 以 要 对 d o c x 文 件 进 行 U R L 嵌 入 ， 对 这 两 个 文 件 进 行 编 辑 就 可 以 了 ， 当 然 ， 实 际 情 况 中 ， 这 两 个 文 件 有 可 能 是 不 存 在 的 ， 需 要 自 己 创 建 ， 也 有 可 能 已 经 存 在 了 ， 包 含 了 r I d 1 的 数 据 ， 这 时 候 就 要 依 次 使 用 r I d 2 等 其 他 的 I d 号 了 。 e x c e l 文 件 追 踪 文 件 追 踪 对 于 E x c e l 的 文 件 追 踪 方 式 ， 首 先 想 到 的 是 w o r d 版 的 方 案 ， 可 惜 的 是 ， 虽 然 同 样 可 以 按 照 模 板 创 建 文 件 ， 但 是 并 不 支 持 嵌 入 链 接 。 那 么 有 没 有 比 较 好 的 方 案 能 够 实 现 x l s x 文 件 同 样 的 效 果 呢 ？ 下 面 就 介 绍 一 个 “ 不 完 美 ” 的 方 案 。 首 先 还 是 创 建 一 个 新 文 件 ， 为 了 演 示 ， 就 不 写 数 据 了 ， 直 接 插 入 一 张 图 片 ， 效 果 如 下 ： 保 存 文 件 后 ， 同 样 的 方 式 ， 解 压 x l s x 文 件 ， 不 出 意 外 的 话 得 到 _ r e l s 、 [ C o n t e n t _ T y p e s ] . x m l 、 d o c P r o p s 、 x l 。 这 里 可 以 看 到 ， 和 d o c x 文 件 唯 一 不 同 的 就 是 x l 文 件 夹 ， 这 里 就 是 e x c e l 文 件 的 核 心 内 容 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 "   s t a n d a l o n e = " y e s " ? > < R e l a t i o n s h i p s   x m l n s = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / p a c k a g e / 2 0 0 6 / r e l a t i o n s h i p s " > < R e l a t i o n s h i p   I d = " r I d 1 "   T y p e = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / r e l a t i o n s h i p s / a t t a c h e d T e m p l a t e " < w : a t t a c h e d T e m p l a t e   r : i d = " r I d 1 " / >
寻 找 线 索 之 前 ， 可 以 大 体 上 能 确 定 一 个 逻 辑 ， 就 是 应 该 存 在 两 个 关 键 配 置 文 件 ， 其 中 一 个 的 内 容 引 用 了 图 片 资 源 的 位 置 ， 另 一 个 文 件 则 是 引 用 了 这 个 配 置 文 件 。 根 据 这 个 思 路 ， 首 先 可 以 明 确 看 到 图 片 资 源 在 m e d i a 文 件 夹 中 ， 然 后 根 据 文 件 名 搜 索 可 以 定 位 到 d r a w i n g s / _ r e l s / d r a w i n g 1 . x m l . r e l s 文 件 中 ， 内 容 如 下 ： 不 难 想 到 ， 在 T a r g e t = ” . . / m e d i a / i m a g e 1 . p n g ” 这 再 追 加 一 个 属 性 T a r g e t M o d e = ” E x t e r n a l ” ， 代 表 外 部 链 接 ， 然 后 修 改 ” . . / m e d i a / i m a g e 1 . p n g ” 为 钓 鱼 U R L ， 重 新 打 包 后 就 可 以 发 现 ， 实 现 了 追 踪 效 果 。 此 时 出 现 了 同 样 的 问 题 ， 如 何 在 任 何 x l s x 文 件 下 都 可 以 支 持 ， 并 且 多 了 一 个 问 题 ， 如 何 隐 藏 这 个 图 片 ？ 任 意 内 容 的 任 意 内 容 的 x l s x 文 件 嵌 入 文 件 嵌 入 接 下 来 就 是 寻 找 如 何 引 用 上 述 的 配 置 文 件 了 。 首 先 基 本 可 以 猜 测 到 ， d r a w i n g s 文 件 夹 一 定 是 图 片 相 关 的 资 源 配 置 ， 除 了 刚 说 到 的 . r e l s 文 件 ， 另 一 个 就 是 d r a w i n g 1 . x m l ， 打 开 可 以 内 容 基 本 上 就 是 该 图 片 的 属 性 了 ， 包 括 大 小 、 位 置 、 名 称 等 数 据 ， 另 外 就 是 引 用 了 关 系 ： 同 理 ， r I d 1 对 应 之 前 的 配 置 文 件 ； 然 后 就 是 相 同 的 方 式 ， 可 以 发 现 文 件 w o r k s h e e t s / s h e e t 1 . x m l 和 w o r k s h e e t s / _ r e l s / s h e e t 1 . x m l . r e l s ， 都 存 在 引 用 相 关 配 置 文 件 信 息 ， 根 据 这 4 个 文 件 ， 就 可 以 自 定 义 生 成 x l s x 的 追 踪 方 案 。 当 然 ， 实 际 情 况 中 ， 也 存 在 一 些 问 题 ， 首 先 这 些 文 件 都 是 不 一 定 存 在 的 ， 不 存 在 的 话 ， 需 要 创 建 ， 如 果 存 在 ， 还 需 要 注 意 r I d 的 序 号 ， 因 为 可 能 存 在 其 他 的 图 片 资 源 引 用 ； 关 于 怎 么 隐 藏 这 个 图 片 ， 目 前 还 没 有 很 好 的 方 式 ， 虽 然 在 d r a w i n g 1 . x m l 配 置 中 可 以 设 置 隐 藏 属 性 ， 但 是 试 过 之 后 ， 发 现 隐 藏 的 图 片 不 会 在 打 开 文 件 时 自 动 执 行 ， 这 也 就 失 去 了 意 义 ， 所 以 目 前 可 行 的 方 案 就 是 将 该 图 片 设 置 为 长 宽 都 是 0 的 格 式 ， 并 同 时 将 位 置 放 在 最 左 上 角 ， 这 样 就 可 以 间 接 达 到 隐 藏 的 目 的 。 最 终 效 果 如 下 ： 如 果 该 图 片 被 选 中 ， 就 会 显 示 很 小 的 一 个 标 记 ， 当 然 不 被 选 中 的 情 况 ， 是 看 不 出 来 的 。 o f f i c e 文 件 暗 水 印 文 件 暗 水 印 有 网 络 请 求 的 地 方 ， 往 往 是 不 稳 定 的 ， 所 以 除 了 能 够 追 踪 文 件 的 打 开 路 径 ， 还 需 要 配 合 暗 水 印 来 辅 助 溯 源 。 对 于 o f f i c e 文 件 的 暗 水 印 ， 有 很 多 种 方 式 ， 根 据 前 文 说 的 方 案 思 路 ， 不 难 看 出 ， 在 很 多 配 置 文 件 中 ， 其 实 是 可 以 插 入 字 符 串 的 ， 例 如 直 接 在 插 入 的 链 接 中 追 加 参 数 用 来 标 记 ； 或 者 x l s x 中 的 图 片 名 称 属 性 写 入 一 串 暗 水 印 ； 或 者 直 接 在 文 件 属 性 中 添 加 字 符 串 等 等 ， 这 里 先 介 绍 下 文 件 属 性 。 如 图 所 示 可 以 看 出 ， o f f i c e 文 件 的 属 性 显 示 了 一 些 固 定 信 息 ， 暗 水 印 的 添 加 可 以 直 接 将 字 符 串 加 密 后 写 到 属 性 里 ， 好 处 就 是 抗 修 改 、 另 存 为 比 较 强 ， 坏 处 就 是 容 易 被 发 现 。 后 来 经 过 研 究 发 现 ， 有 一 种 自 定 义 属 性 的 方 式 可 以 对 其 进 行 强 化 ， 原 理 就 是 o f f i c e 的 属 性 其 实 并 不 是 固 定 的 ， 除 了 图 中 的 常 见 属 性 ， 还 支 持 自 定 义 ， 名 称 和 值 都 可 以 自 己 写 ， 并 且 在 查 看 属 性 中 ， 并 不 展 示 这 些 自 定 义 值 ， 这 样 就 让 暗 水 印 更 加 隐 蔽 了 。 具 体 方 式 就 是 在 解 压 后 的 d o c P r o p s 文 件 夹 中 ， 新 建 一 个 c u s t o m . x m l 文 件 ， 内 容 可 以 参 考 ： 同 样 需 要 在 其 他 配 置 文 件 中 进 行 引 用 ， 这 里 就 不 展 开 了 ， 可 以 参 考 同 级 目 录 下 的 a p p . x m l 文 件 的 引 用 关 系 。 总 结 总 结 o f f i c e 的 文 件 追 踪 本 质 上 就 是 利 用 o f f i c e 自 身 的 特 性 来 做 文 章 ， 深 入 理 解 它 的 结 构 之 后 ， 能 更 好 地 实 现 方 案 。 虽 然 本 文 的 方 案 可 以 满 足 基 本 需 求 ， 但 是 仍 然 存 在 很 多 问 题 待 解 决 ， 数 据 安 全 保 护 还 需 要 大 家 持 续 去 研 究 新 的 技 术 。 < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 "   s t a n d a l o n e = " y e s " ? > < R e l a t i o n s h i p s   x m l n s = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / p a c k a g e / 2 0 0 6 / r e l a t i o n s h i p s " > < R e l a t i o n s h i p   I d = " r I d 1 "   T y p e = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / r e l a t i o n s h i p s / i m a g e " < a : b l i p   x m l n s : r = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / r e l a t i o n s h i p s "   r : e m b e d = " r I d 1 " / > < ? x m l   v e r s i o n = ' 1 . 0 '   e n c o d i n g = ' U T F - 8 '   s t a n d a l o n e = ' y e s ' ? > < P r o p e r t i e s   x m l n s = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / c u s t o m - p r o p e r t i e s "   x m l n s : v t = " h t t p : / / s c h e m a s . o p e n x m l f o r m a t s . o r g / o f f i c e D o c u m e n t / 2 0 0 6 / d o c P r o p s V T y p e s " > < p r o p e r t y   f m t i d = " { D 5 C D D 5 0 5 - 2 E 9 C - 1 0 1 B - 9 3 9 7 - 0 8 0 0 2 B 2 C F 9 A E } "   p i d = " 2 "   n a m e = " 这 里 是 自 定 义 属 性 名 " > < v t : l p w s t r > 这 里 是 属 性 对 应 的 值 < / v t : l p w s t r > < / p r o p e r t y > < / P r o p e r t i e s >
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理