OLE2Viewer - анализ и просмотр структуры файлов OLE2

Здесь можно обсудить ваш любимый плагин.
rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Mon 19 Dec, 2016 11:27

Обсуждение плагина OLE2Viewer

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Wed 18 Jan, 2017 12:02

Latest post of the previous page:

Версия 1.0.4 rc
* BUG: исправление ошибки открытия плагина через меню "Команды плагинов" во временной панели;
* BUG: исправление ошибки открытия плагина через командную строку с префиксом "ole2";
+ Декодирование имен элементов в инсталляционных пакетах MSI/MSP/MSM.

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Mon 13 Feb, 2017 22:41

Версия 1.0.5 rc
+ Извлечение вложенных объектов из потоков "☺Ole10Native";
+ Отображение "потерянных" записей каталога.

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Sun 19 Feb, 2017 10:04

Версия 1.0.6 rc
+ Извлечение текста из документов Word формата быстрого сохранения (complex file Word);
+ Корректно извлекаемый из документов текст кодируется в UTF-8.

abc007
Posts: 7
Joined: Fri 27 Jan, 2017 14:55

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby abc007 » Wed 08 Mar, 2017 20:59

Не всегда декодируются скрипты. Пример файла в аттаче (файл со спама, пароль на архив: virus)
Attachments
vir.7z
(44.62 KiB) Downloaded 9 times

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Mon 13 Mar, 2017 05:45

abc007 wrote:Source of the post Не всегда декодируются скрипты. Пример файла в аттаче (файл со спама, пароль на архив: virus)


Спасибо Вам за файлик, там интересный заголовок блока с исходником макроса, который ранее мне не встречался. В ближайшее время сделаю новую сборку.

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Wed 15 Mar, 2017 21:27

Поправил плагин с учетом предоставленного файла.
А файлик-то вредоносный: макрос файла извлекает downloader на JavaScript, ссылка уже убитая, но, судя по всему, там был вымогатель-шифровальщик.

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Wed 15 Mar, 2017 21:27

Версия 1.0.7 rc
+ Усовершенствование алгоритма извлечения исходных кодов макросов VBA;
+ Улучшение работы с памятью.

User avatar
HaRT
Moderator
Posts: 7879
Joined: Tue 30 Aug, 2005 17:21
Location: Санкт-Петербург
Has thanked: 62 times
Been thanked: 93 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby HaRT » Wed 15 Mar, 2017 23:19

rivitna wrote:Source of the post А файлик-то вредоносный
А как Вы смотрите текст макросов?
Я в директории Macros вижу файлы

Code: Select all

VBA/_VBA_PROJECT
VBA/dir
VBA/ThisDocument
PROJECT
PROJECTwm
но ни один из них не похож на текст макросов…
Фар есть инструмент, а не нянька. © 2009 DrKnS

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Thu 16 Mar, 2017 08:44

HaRT wrote:Source of the post А как Вы смотрите текст макросов?
Я в директории Macros вижу файлы
...
но ни один из них не похож на текст макросов…


Макросные стримы (потоки) находятся в каталоге "VBA", там помимо макросных стримов находятся служебные стримы "_VBA_PROJECT" и "dir", а также могут быть стримы с названиями типа "__SRP_N", там содержится скомпилированный исполняемый код макросов. Таким образом, остается "ThisDocument" - это и есть макросный стрим, в нем содержится p-code и запакованный исходный код макроса. Надо просто на стрим нажать "Enter". Кстати, Ctrl-PgDn надо добавить. :oops:
Кроме того, в стриме "PROJECTwm" содержатся наименования всех макросных стримов проекта VBA в ANSI и Unicode, ну или просто определить перебором, нажимая на Enter :)

Конечно, в идеале хочется подсвечивать стримы-контейнеры, из которых плагин что-то извлекает, но с подсветкой я так и не разобрался: мне не понятно, как подсвечивать внутри плагина стримы, но так, чтобы было единообразие с подсветкой файлов-архивов в реальной файловой системе.

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Thu 16 Mar, 2017 12:16

Увы, усовершенствование привело к поломке алгоритма распаковки в 64-битной версии плагина :(

Версия 1.0.8 rc
* BUG: исправление ошибки распаковки исходного кода макроса в 64-битной версии плагина;
+ Открытие потока, содержащего вложенные объекты, при нажатии [Ctrl-PageDown].

User avatar
HaRT
Moderator
Posts: 7879
Joined: Tue 30 Aug, 2005 17:21
Location: Санкт-Петербург
Has thanked: 62 times
Been thanked: 93 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby HaRT » Thu 16 Mar, 2017 12:44

rivitna wrote:Source of the post Ctrl-PgDn надо добавить
Да, хорошо бы. Лично для меня Enter на файле — это его запуск.
Upd: а, как я погляжу, уже. Спасибо.
rivitna wrote:Source of the post в стриме "PROJECTwm" содержатся наименования всех макросных стримов проекта VBA в ANSI и Unicode
И как их там лучше всего посмотреть?
rivitna wrote:Source of the post подсвечивать стримы-контейнеры
Почему Вы говорите об этом в терминах подсветки? Если стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.
Last edited by HaRT on Thu 16 Mar, 2017 12:45, edited 1 time in total.
Reason: Добавлен Upd
Фар есть инструмент, а не нянька. © 2009 DrKnS

abc007
Posts: 7
Joined: Fri 27 Jan, 2017 14:55

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby abc007 » Thu 16 Mar, 2017 13:19

rivitna wrote:Source of the post BUG: исправление ошибки распаковки исходного кода макроса в 64-битной версии плагина;

Спасибо! Теперь всё работает

User avatar
zg
zero-gravity
Posts: 5183
Joined: Tue 15 Mar, 2005 17:36
Location: riga
Been thanked: 38 times
Contact:

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby zg » Thu 16 Mar, 2017 16:02

HaRT wrote:Source of the postЕсли стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.
обсуждалось, типа кому-то может понадобиться извлечь в виде файла.

User avatar
HaRT
Moderator
Posts: 7879
Joined: Tue 30 Aug, 2005 17:21
Location: Санкт-Петербург
Has thanked: 62 times
Been thanked: 93 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby HaRT » Thu 16 Mar, 2017 16:51

zg wrote:Source of the post кому-то может понадобиться извлечь в виде файла
Ну может тогда стоило бы помечать такие файлы каким-то атрибутом, чтобы можно было навесить раскраску? Возможно ли в FAR API придать элементу панели атрибут Directory (в том смысле, как это используется в фильтрах), но при этом чтобы на панели этот элемент не был директорией? Или, скажем, нельзя ли так настроить элемент-директорию, чтобы её можно было экспортировать (просмотреть/скопировать) как один файл?
Фар есть инструмент, а не нянька. © 2009 DrKnS

User avatar
HaRT
Moderator
Posts: 7879
Joined: Tue 30 Aug, 2005 17:21
Location: Санкт-Петербург
Has thanked: 62 times
Been thanked: 93 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby HaRT » Thu 16 Mar, 2017 18:54

Фар есть инструмент, а не нянька. © 2009 DrKnS

rivitna
Posts: 31
Joined: Wed 30 Nov, 2016 10:58
Has thanked: 1 time
Been thanked: 2 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby rivitna » Thu 16 Mar, 2017 19:22

HaRT wrote:И как их там лучше всего посмотреть?

По F3 проще всего, не хочется городить, тем более Microsoft считает данный стрим необязательным.

HaRT wrote:Source of the post Почему Вы говорите об этом в терминах подсветки? Если стрим контейнерный, то пусть он будет директорией, чтобы было сразу понятно, что туда можно войти.

Да, все верно, такая функциональность необходима:
zg wrote:Source of the post обсуждалось, типа кому-то может понадобиться извлечь в виде файла.


Last edited by rivitna on Thu 16 Mar, 2017 19:23, edited 1 time in total.

User avatar
HaRT
Moderator
Posts: 7879
Joined: Tue 30 Aug, 2005 17:21
Location: Санкт-Петербург
Has thanked: 62 times
Been thanked: 93 times

OLE2Viewer - анализ и просмотр структуры файлов OLE2

Postby HaRT » Thu 16 Mar, 2017 19:34

rivitna wrote:Source of the post такая функциональность необходима
Я затеял обсуждение безотносительно конкретного плагина: viewtopic.php?p=142987#p142987
Фар есть инструмент, а не нянька. © 2009 DrKnS


Return to “Обсуждение плагинов”

Who is online

Users browsing this forum: No registered users and 4 guests