OneNoteAnalyzer

一款基于C#的工具，用于分析恶意OneNote文档

描述

最近，我们遇到了一些由不同威胁行为者在野外传播的恶意OneNote文档。这促使我们开发了"OneNoteAnalyzer"，它有助于在不执行这些恶意OneNote文档的情况下进行分析。现在，让我们看看该工具提供的功能。

功能

在提供恶意OneNote文档的文件路径后，OneNoteAnalyzer会提取：

• OneNote文档中的附件，以及实际的附件路径、文件名和大小
• OneNote文档的页面元数据——标题、作者、创建时间、最后修改时间
• OneNote文档中的图片，以及可能存在的超链接URL
• OneNote文档中按页面划分的文本
• OneNote文档中的超链接及其叠加文本
• 将OneNote文档转换为图像
• 解析受密码保护的OneNote文档 新增

使用方法

演示

为了对恶意OneNote文档执行OneNoteAnalyzer，我们提供OneNote文档的路径，如下所示。

执行后，OneNoteAnalyzer会将OneNote文档中的附件提取到"OneNoteAttachments"文件夹中。在控制台中可以看到实际的附件路径（即附件上传时的路径），以及提取的文件名和大小。

OneNoteAttachments文件夹中提取的附件：

接下来，它会提取OneNote文档中按页面划分的元数据，如下所示。

然后，它还会提取OneNote文档中的所有图像，如下所示：

提取的图像保存在OneNoteImages文件夹中，如下所示。

该工具进一步从OneNote文档中提取按页面划分的文本。

并将其保存在OneNoteText文件夹中，如下面的截图所示。

此外，它还从OneNote文档中提取超链接及其叠加文本，如下面的截图所示。

提取的超链接存储在OneNoteHyperLinks文件夹中——文件名为 onenote_hyperlinks.txt

最后，该工具将OneNote文档转换为图像并保存，格式如下。

保存的图像-1：

保存的图像-2：

执行完成后，提取的数据会存储在当前工作目录下的导出目录"OneNoteFilename_content"中，如下面的截图所示。

设置信息

• 将"Program.cs"复制到Visual Studio中
• 从NuGet包中安装"Aspose.Note 18.1.0"
• 构建项目！

更新

• 添加了导出目录，用于存放从OneNote文档中提取的所有数据（可从Releases下载编译后的二进制文件）
• 修复了多个附件和同名图像提取时的问题
• 处理了FileCorruptedException异常
• 支持受密码保护的OneNote文档——由 0xToxin 修改
  • 更多信息和代码 -> 仓库目录：OneNoteAnalyzer-withPass
  • Releases中的编译二进制文件

参考

https://docs.aspose.com/note/net

谢谢！=)