CanaryToken / HoneyToken 扫描器

检测 Microsoft Office 文档 和 PDF 中的可疑 URL（包括 CanaryTokens）。

支持的格式：

• Office Open XML: .docx, .xlsx, .pptx
• .pdf
• .zip（通用归档）

为什么存在这个工具

CanaryTokens 和 HoneyTokens（以及其他跟踪或恶意 URL）通常嵌入文档中，用于在文件被打开或外部资源被获取时发出信号。此工具仅执行静态检查：它读取文件内容并查找嵌入的 URL，而无需在 Office/Acrobat 中打开文档，也不发起任何网络请求。

工作原理

Office / Zip 扫描（DOCX/XLSX/PPTX/ZIP）

• Office 文档本质上是 ZIP 容器。
• 扫描器直接读取 ZIP 成员并搜索 http:// 和 https:// URL。
• 常见的、预期的模式域被忽略以减少噪音：
  • schemas.openxmlformats.org
  • schemas.microsoft.com
  • purl.org
  • w3.org

PDF 扫描

扫描器在以下内容中搜索 URL：

• 原始 PDF 字节（许多 PDF 在 /URI(...) 中直接存储 URL）
• 压缩的 PDF 流（stream ... endstream），通过尝试 Flate/deflate 解压缩

输出

• 如果发现可疑 URL，脚本会打印它们并将文件报告为可疑。
• 如果未发现任何可疑内容，则将文件报告为正常。

使用方法

针对单个文件运行：

python CanaryTokenScanner.py /path/to/document.pdf

针对目录递归运行：

python CanaryTokenScanner.py /path/to/folder

示例输出：

URL Found in /path/to/file.docx:
https://example.com/track/abc123

The file /path/to/file.docx is suspicious.

V2：变更内容（性能 + 改进）

• 不再提取到磁盘：Office/ZIP 文件在内存中扫描，而不是提取到临时目录。
• 扫描更快：避免了文件系统开销和重复读取。
• 更好的 PDF 覆盖：检测原始 PDF 内容和 Flate/deflate 压缩流中的 URL。
• 更清晰的结果：仍然过滤常见的模式域以减少误报。

注意事项 / 限制

• 这是一个启发式 URL 检测器。存在 URL 并不自动意味着它是恶意的。
• 某些 PDF 使用的压缩/过滤器组合超出了简单的 Flate/deflate 解压缩范围。
• 加密或高度混淆的文件可能会降低检测准确性。

脚本展示

免责声明

此脚本仅用于教育和安全测试目的。请负责任地使用，并遵守适用法律和组织政策。作者不对误用或基于此工具输出采取的行动承担任何责任。