OLE2Viewer - анализ и просмотр структуры файлов OLE2

Здесь можно обсудить ваш любимый плагин.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Обсуждение плагина OLE2Viewer
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Latest post of the previous page:

Версия 1.0.4 rc
* BUG: исправление ошибки открытия плагина через меню "Команды плагинов" во временной панели;
* BUG: исправление ошибки открытия плагина через командную строку с префиксом "ole2";
+ Декодирование имен элементов в инсталляционных пакетах MSI/MSP/MSM.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Версия 1.0.5 rc
+ Извлечение вложенных объектов из потоков "☺Ole10Native";
+ Отображение "потерянных" записей каталога.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Версия 1.0.6 rc
+ Извлечение текста из документов Word формата быстрого сохранения (complex file Word);
+ Корректно извлекаемый из документов текст кодируется в UTF-8.
abc007
Posts: 7
Joined: Fri 27 Jan, 2017 14:55

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by abc007 »

Не всегда декодируются скрипты. Пример файла в аттаче (файл со спама, пароль на архив: virus)
Attachments
vir.7z
(44.62 KiB) Downloaded 80 times
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

abc007 wrote: Не всегда декодируются скрипты. Пример файла в аттаче (файл со спама, пароль на архив: virus)
Спасибо Вам за файлик, там интересный заголовок блока с исходником макроса, который ранее мне не встречался. В ближайшее время сделаю новую сборку.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Поправил плагин с учетом предоставленного файла.
А файлик-то вредоносный: макрос файла извлекает downloader на JavaScript, ссылка уже убитая, но, судя по всему, там был вымогатель-шифровальщик.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Версия 1.0.7 rc
+ Усовершенствование алгоритма извлечения исходных кодов макросов VBA;
+ Улучшение работы с памятью.
User avatar
HaRT
Moderator
Posts: 10806
Joined: Tue 30 Aug, 2005 17:21
Has thanked: 220 times
Been thanked: 357 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by HaRT »

rivitna wrote: А файлик-то вредоносный
А как Вы смотрите текст макросов?
Я в директории Macros вижу файлы

Code: Select all

VBA/_VBA_PROJECT
VBA/dir
VBA/ThisDocument
PROJECT
PROJECTwm
но ни один из них не похож на текст макросов…
Фар есть инструмент, а не нянька. © 2009 DrKnS
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

HaRT wrote: А как Вы смотрите текст макросов?
Я в директории Macros вижу файлы
...
но ни один из них не похож на текст макросов…
Макросные стримы (потоки) находятся в каталоге "VBA", там помимо макросных стримов находятся служебные стримы "_VBA_PROJECT" и "dir", а также могут быть стримы с названиями типа "__SRP_N", там содержится скомпилированный исполняемый код макросов. Таким образом, остается "ThisDocument" - это и есть макросный стрим, в нем содержится p-code и запакованный исходный код макроса. Надо просто на стрим нажать "Enter". Кстати, Ctrl-PgDn надо добавить. :oops:
Кроме того, в стриме "PROJECTwm" содержатся наименования всех макросных стримов проекта VBA в ANSI и Unicode, ну или просто определить перебором, нажимая на Enter :)

Конечно, в идеале хочется подсвечивать стримы-контейнеры, из которых плагин что-то извлекает, но с подсветкой я так и не разобрался: мне не понятно, как подсвечивать внутри плагина стримы, но так, чтобы было единообразие с подсветкой файлов-архивов в реальной файловой системе.
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

Увы, усовершенствование привело к поломке алгоритма распаковки в 64-битной версии плагина :(

Версия 1.0.8 rc
* BUG: исправление ошибки распаковки исходного кода макроса в 64-битной версии плагина;
+ Открытие потока, содержащего вложенные объекты, при нажатии [Ctrl-PageDown].
User avatar
HaRT
Moderator
Posts: 10806
Joined: Tue 30 Aug, 2005 17:21
Has thanked: 220 times
Been thanked: 357 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by HaRT »

rivitna wrote: Ctrl-PgDn надо добавить
Да, хорошо бы. Лично для меня Enter на файле — это его запуск.
Upd: а, как я погляжу, уже. Спасибо.
rivitna wrote: в стриме "PROJECTwm" содержатся наименования всех макросных стримов проекта VBA в ANSI и Unicode
И как их там лучше всего посмотреть?
rivitna wrote: подсвечивать стримы-контейнеры
Почему Вы говорите об этом в терминах подсветки? Если стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.
Last edited by HaRT on Thu 01 Jan, 1970 01:00, edited 0 times in total.
Reason: Добавлен Upd
Фар есть инструмент, а не нянька. © 2009 DrKnS
abc007
Posts: 7
Joined: Fri 27 Jan, 2017 14:55

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by abc007 »

rivitna wrote: BUG: исправление ошибки распаковки исходного кода макроса в 64-битной версии плагина;
Спасибо! Теперь всё работает
User avatar
zg
zero-gravity
Posts: 6015
Joined: Tue 15 Mar, 2005 17:36
Location: riga
Been thanked: 185 times
Contact:

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by zg »

HaRT wrote:Если стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.
обсуждалось, типа кому-то может понадобиться извлечь в виде файла.
User avatar
HaRT
Moderator
Posts: 10806
Joined: Tue 30 Aug, 2005 17:21
Has thanked: 220 times
Been thanked: 357 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by HaRT »

zg wrote: кому-то может понадобиться извлечь в виде файла
Ну может тогда стоило бы помечать такие файлы каким-то атрибутом, чтобы можно было навесить раскраску? Возможно ли в FAR API придать элементу панели атрибут Directory (в том смысле, как это используется в фильтрах), но при этом чтобы на панели этот элемент не был директорией? Или, скажем, нельзя ли так настроить элемент-директорию, чтобы её можно было экспортировать (просмотреть/скопировать) как один файл?
Фар есть инструмент, а не нянька. © 2009 DrKnS
User avatar
HaRT
Moderator
Posts: 10806
Joined: Tue 30 Aug, 2005 17:21
Has thanked: 220 times
Been thanked: 357 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by HaRT »

Фар есть инструмент, а не нянька. © 2009 DrKnS
rivitna
Posts: 35
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Post by rivitna »

HaRT wrote: И как их там лучше всего посмотреть?
По F3 проще всего, не хочется городить, тем более Microsoft считает данный стрим необязательным.
HaRT wrote: Почему Вы говорите об этом в терминах подсветки? Если стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.
Да, все верно, такая функциональность необходима:
zg wrote: обсуждалось, типа кому-то может понадобиться извлечь в виде файла.
Post Reply

Return to “Обсуждение плагинов”