恶意文档分析

何时使用 / 何时不用

• 用：钓鱼附件（PDF/Office/RTF）、文档漏洞利用样本、宏文档、文档型恶意载荷
• 用：仅拿到单文档样本，需还原载荷提取链（宏 → 脚本 → 可执行 → 回连）
• 不用：纯脚本宏（转 [[re-script-deob]]）；文档仅是载体（核心逻辑在下载载荷）
• 不用：只有网页/邮件网关侧元数据（无样本文件本身）——先要样本再分析
• 注意：动态打开文档必须沙箱（[[re-sandbox]]，[[re-analyze/platform-tips]] 最高原则）；文档可能检测环境后不触发（见坑 6）

工具准备

pdf-parser / pdfid（PDF 结构分析）

• Linux: apt install pdf-parser pdfid（Kali 常预装；Debian/Ubuntu 仓库同名包）或 GitHub DidierStevens/DidierStevensSuite 源码运行；macOS: brew install pdf-parser / pip
• Windows: pip（WSL 亦可）
• 验证: pdf-parser --version（无则 python3 pdf_parser.py --help）；pdfid.py sample.pdf 能输出对象计数
• 补充（备注：peepdf 已归档、Python 2 时代，PyPI 仅 0.3.6——首选 pdf-parser/pdfid）