RTF-Cleaner

أداة إزالة التعتيم عن مستندات CVE-2017-0199 للعثور على عناوين URL بشكل ثابت.

استخدم هذه الأداة للعثور على عناوين URL بشكل ثابت في مستندات RTF المُعمّاة.

الاستخدام: .\rtfCleanerUniversal.ps1 path-to-file

مثال: .\rtfCleanerUniversal.ps1 'C:\Users\yams\Downloads\invoiceForYams.doc'

إذا لم تعثر محركات التعبير النمطي المدمجة على شيء، فقط أدخل ما تجده في ملف rtf، مثل pntxtb, lchars، إلخ...

نسعى لبناء وظيفة للعثور على هذه العناصر تلقائيًا. لكنها يدوية حاليًا.

تعمل هذه الأداة مع أي نوع ملف يحتوي على {\parameters} لتنظيفه.

استخدم على مسؤوليتك الخاصة! تم اختباره على Windows و PowerShell لنظام MacOS.

كيف يعمل:

1. يزيل جميع المعلمات التي تقطع الكود السداسي (المدمجة والمخصصة)

2. يحول الكود السداسي ذو الصلة إلى سلاسل قابلة للقراءة

3. يزيل الأحرف الفارغة

4. يعثر على عنوان URL لـ HTA ويقدمه

الإخراج في حالة العثور على URL:

PS /Users/yammer/Documents/PowerShell/RTF-Cleaner> ./rtfCleanerUniversal.ps1 ../RTFs/invoice.doc

جارٍ التحليل: ../RTFs/invoice.doc

تم العثور على 180 من {\lchars\s*([^}]?)\s}!

تم العثور على URL!

https[:]//malicious[.]site/fake/directory/payload[.]hta