CanaryToken / HoneyToken スキャナー

Microsoft Office 文書やPDF内の不審なURL（CanaryTokensを含む）を検出します。

対応形式:

• Office Open XML: .docx, .xlsx, .pptx
• .pdf
• .zip (汎用アーカイブ)

存在意義

CanaryTokensやHoneyTokens（その他の追跡・悪意のあるURL）は、ファイルが開かれたり外部リソースが取得されたりしたことを知らせるために、文書に埋め込まれることがよくあります。このツールは静的検査のみを実行します。つまり、Office/Acrobatで文書を開かず、ネットワークリクエストも行わずに、ファイルの内容を読み取り、埋め込まれたURLを探します。

動作の仕組み

Office / Zip スキャン (DOCX/XLSX/PPTX/ZIP)

• Office文書は内部的にはZIPコンテナです。
• スキャナーはZIPメンバーを直接読み取り、http:// および https:// URLを検索します。
• ノイズを減らすために、一般的なスキーマドメインは無視されます:
  • schemas.openxmlformats.org
  • schemas.microsoft.com
  • purl.org
  • w3.org

PDF スキャン

スキャナーは以下の場所でURLを検索します:

• 生のPDFバイト（多くのPDFは/URI(...)にURLを平文で保存しています）
• 圧縮されたPDFストリーム（stream ... endstream）に対してFlate/deflate伸長を試みます

出力

• 不審なURLが見つかった場合、スクリプトはそれらを表示し、ファイルを「不審」と報告します。
• 何も見つからなかった場合、ファイルは「正常」と報告されます。

使い方

単一ファイルに対して実行:

python CanaryTokenScanner.py /path/to/document.pdf

ディレクトリに対して実行（再帰的）:

python CanaryTokenScanner.py /path/to/folder

出力例:

URL Found in /path/to/file.docx:
https://example.com/track/abc123

The file /path/to/file.docx is suspicious.

V2: 変更点（パフォーマンスと改善）

• ディスクへの展開が不要に: Office/ZIPファイルは一時ディレクトリに展開される代わりに、メモリ内でスキャンされます。
• より高速なスキャン: ファイルシステムのオーバーヘッドと繰り返し読み取りを回避します。
• より良いPDFカバレッジ: 生のPDFコンテンツとFlate/deflate圧縮ストリームの両方でURLを検出します。
• よりクリーンな結果: 誤検出を減らすために、引き続き一般的なスキーマドメインをフィルタリングします。

注意事項 / 制限事項

• これはヒューリスティックなURL検出器です。URLが存在しても、それが自動的に悪意があることを意味するわけではありません。
• 一部のPDFは、単純なFlate/deflate伸長ではカバーできない圧縮/フィルタの組み合わせを使用しています。
• 暗号化されたファイルや高度に難読化されたファイルは、検出精度を低下させる可能性があります。

スクリプトのデモ

免責事項

このスクリプトは教育およびセキュリティテスト目的のみを意図しています。責任を持って、適用される法律や組織のポリシーに従って使用してください。作者は、本ツールの出力に基づく誤用や行動について一切の責任を負いません。