python-oletools

oletools 是一个 Python 工具包，用于分析 Microsoft OLE2 文件 （也称为结构化存储、复合文件二进制格式或复合文档文件格式）， 例如 Microsoft Office 97-2003 文档、MSI 文件或 Outlook 消息，主要用于恶意软件分析、 取证和调试。 它基于 olefile 解析器。

它还提供了分析 RTF 文件和基于 OpenXML 格式 （即 OOXML）的文件（如 MS Office 2007+ 文档、XPS 或 MSIX 文件）的工具。

例如，oletools 可以检测、提取和分析 VBA 宏、OLE 对象、Excel 4 宏 (XLM) 和 DDE 链接。

更多信息请参见 http://www.decalage.info/python/oletools。

快速链接： 主页 - 下载/安装 - 文档 - 报告问题/建议/提问 - 联系作者 - 仓库 - Twitter 更新 速查表

注意：python-oletools 与 BeCubed Software 发布的 OLETools 无关。

新闻

• 2025-05-22 v0.60.3：
  • olevba：
    • 修复了 CLI 显示中 ANSI 转义码存在时的安全问题（PR #873）
    • 加密文件：密码现在记录在日志中，增加了 --decrypted_dir 选项（PR #842）
• 2024-07-02 v0.60.2：
  • olevba：
    • 修复了 open_slk 中的一个错误（issue #797, PR #769）
    • 修复了因 dir 流中新增 PROJECTCOMPATVERSION 记录导致的错误（PR #723, issues #700, #701, #725, #791, #808, #811, #833）
  • oleobj：修复了 Python 3.12 下的 SyntaxError（PR #855），SyntaxWarning（PR #774）
  • rtfobj：修复了 Python 3.12 下的 SyntaxError（PR #854）
  • clsid：新增了 MSI、Zed 的 CLSID
  • ftguess：新增了 MSI、PNG 和 OneNote 格式
  • pyxswf：修复了 Python 3.12 兼容性（PR #841, issue #813）
  • setup/requirements：允许使用 pyparsing 3 以解决安装问题（PR #812, issue #762）
• 2022-05-09 v0.60.1：
  • olevba：
    • 修复了调用 XLMMacroDeobfuscator 时的错误（PR #737）
    • 移除了导致误报的关键词 "sample"
  • oleid：修复了 OleID 初始化问题（issue #695, PR #696）
  • oleobj：
    • 增加了对 CVE-2021-40444 初始阶段的简单检测
    • 增加了对 customUI onLoad 的检测
    • 改进了对 OLE 包中错误文件名的处理（PR #451）
  • rtfobj：修复了在 Py3 下查找 OLE2Link 对象中 URL 的代码（issue #692）
  • ftguess：
    • 增加了 PowerPoint 和 XPS 格式（PR #716）
    • 修复了 XPS 和畸形文档的问题（issue #711）
    • 增加了 XLSB 格式（issue #758）
  • 改进了使用公共模块 log_helper 的日志记录（PR #449）
• 2021-06-02 v0.60：
  • ftguess：用于识别文件格式和容器的新工具（issue #680）
  • oleid：（issue #679）
    • 每个指示器现在都有风险等级
    • 调用 ftguess 识别文件格式
    • 调用 olevba+mraptor 检测并分析 VBA+XLM 宏
  • olevba：
    • 如果 XLMMacroDeobfuscator 可用，则使用其提取和去混淆 XLM 宏
  • rtfobj：
    • 使用 ftguess 识别 OLE 包的文件类型（issue #682）
    • 修复了 re_executable_extensions 中的错误
  • crypto：增加了 PowerPoint 透明密码 '/01Hannes Ruescher/01'（issue #627）
  • setup：XLMMacroDeobfuscator、xlrd2 和 pyxlsb2 作为可选依赖项添加

更多信息请参见完整变更日志。

工具：

分析恶意文档的工具

• oleid：分析 OLE 文件，检测通常出现在恶意文件中的特定特征。
• olevba：从 MS Office 文档（OLE 和 OpenXML）中提取和分析 VBA 宏源码。
• MacroRaptor：检测恶意 VBA 宏。
• msodde：检测并提取 MS Office 文档、RTF 和 CSV 中的 DDE/DDEAUTO 链接。
• pyxswf：检测、提取和分析可能嵌入在 MS Office 文档（如 Word、Excel）和 RTF 中的 Flash 对象 (SWF)，特别适用于恶意软件分析。
• oleobj：从 OLE 文件中提取嵌入对象。
• rtfobj：从 RTF 文件中提取嵌入对象。

分析 OLE 文件结构的工具

• olebrowse：一个简单的图形界面，用于浏览 OLE 文件（例如 MS Word、Excel、PowerPoint 文档），查看和提取单独的数据流。
• olemeta：从 OLE 文件中提取所有标准属性（元数据）。
• oletimes：提取所有流和存储的创建和修改时间戳。
• oledir：显示 OLE 文件的所有目录项，包括空闲和孤立项。
• olemap：显示 OLE 文件中所有扇区的映射。

使用 oletools 的项目：

oletools 被许多项目和在线恶意软件分析服务使用， 包括 ACE、 ADAPT、 Anlyz.io、 AssemblyLine、 Binary Refinery、 CAPE、 CinCan、 Cortex XSOAR (Palo Alto)、 Cuckoo Sandbox、 DARKSURGEON、 Deepviz、 DIARIO、 dridex.malwareconfig.com、 EML Analyzer、 EXPMON、 FAME、 FLARE-VM、 GLIMPS Malware、 Hybrid-analysis.com、 InQuest Labs、 IntelOwl、 Joe Sandbox、 Laika BOSS、 MacroMilter、 mailcow、 malshare.io、 malware-repo、 Malware Repository Framework (MRF)、 MalwareBazaar、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 、 以及可能的 、 。 还有不少 。 （如果您有了解使用 oletools 的项目，请)）

下载和安装：

推荐使用 pip 下载和安装/更新 oletools 的最新稳定版本：

• Linux/Mac：sudo -H pip install -U oletools[full]
• Windows：pip install -U oletools[full]

这应该会自动创建命令行脚本，以便从任何目录运行每个工具：olevba、mraptor、rtfobj 等。

关键字 [full] 表示将安装所有可选依赖项，例如 XLMMacroDeobfuscator。 如果您更喜欢没有可选依赖项的轻量版本，只需从命令行中删除 [full]。

要获取最新的开发版本：

• Linux/Mac：sudo -H pip install -U https://github.com/decalage2/oletools/archive/master.zip
• Windows：pip install -U https://github.com/decalage2/oletools/archive/master.zip

其他安装选项请参见文档。

文档：

文档的最新版本可以在在线找到，此外在包的 doc 子文件夹中也提供了一份副本。

如何建议改进、报告问题或贡献：

这是一个个人开源项目，利用业余时间开发。欢迎任何贡献、建议、反馈或错误报告。

要建议改进、报告错误或任何问题，请使用问题报告页面，并提供所有重现问题的信息和文件。

您也可以直接联系作者提供反馈。

代码托管在 GitHub 仓库中。您可以使用 fork 和 pull request 提交增强功能。

许可证

此许可证适用于 python-oletools 包，thirdparty 文件夹除外，该文件夹包含使用自有许可证发布的第三方文件。

python-oletools 包版权 (c) 2012-2024 Philippe Lagadec (http://www.decalage.info)

保留所有权利。

允许在满足以下条件的情况下，以源代码和二进制形式进行再分发和使用（无论是否修改）：

• 源代码再分发必须保留上述版权声明、此条件列表以及以下免责声明。
• 二进制形式再分发必须在随附文档和/或其他材料中复制上述版权声明、此条件列表以及以下免责声明。

本软件按“原样”提供，版权持有人和贡献者不提供任何明示或暗示的保证，包括但不限于对适销性和特定用途适用性的暗示保证。在任何情况下，版权持有人或贡献者均不对任何直接、间接、偶然、特殊、惩罚性或后果性损害（包括但不限于替代商品或服务的采购；使用、数据或利润的损失；或业务中断）承担责任，无论基于何种责任理论，无论是合同责任、严格责任还是侵权（包括疏忽或其他）行为，即使已被告知可能发生此类损害。

---

olevba 包含来自 officeparser 项目的修改后的源代码，该代码根据以下 MIT 许可证（MIT）发布：

officeparser 版权 (c) 2014 John William Davison

特此免费授予任何获得本软件及关联文档文件（“软件”）副本的人无限制地处理本软件的权利，包括但不限于使用、复制、修改、合并、发布、分发、再许可和/或销售本软件副本的权利，并允许接受本软件的人这样做，但须满足以下条件：

所有副本或实质性部分必须包含上述版权声明和本许可声明。

本软件按“原样”提供，不提供任何明示或暗示的保证，包括但不限于对适销性和特定用途适用性的暗示保证。在任何情况下，作者或版权持有人均不对任何索赔、损害或其他责任承担责任，无论基于合同、侵权或其他行为，与本软件或本软件的使用或其他交易有关或由此产生。