VBASeismograph项目使用教程

1. 项目介绍

VBASeismograph 是一个用于检测VBA代码被篡改的工具。它通过检查以下内容来实现这一功能：

• 编译后的p-code中定义的函数和变量，而这些在VBA源代码中并未出现。
• 编译后的p-code中使用的字符串字面量，而这些在VBA源代码中并未出现。
• 编译后的p-code中出现的注释，而这些在VBA源代码中并未出现。

该工具在Ubuntu 16.04环境下开发和测试。

2. 项目快速启动

在开始使用VBASeismograph之前，需要安装两个外部包：pcodedmp 和 olevba。

安装pcodedmp

pcodemp.py 是一个p-code反汇编器。安装步骤如下：

git clone https://github.com/bontchev/pcodedmp.git

安装olevba

olevba 是一个从Office文件中提取压缩的VBA源代码的工具。在Ubuntu下安装olevba：

sudo pip install oletools

设置PCODEDMP_DIR环境变量

VBASeismograph 会从 PCODEDMP_DIR 环境变量中读取pcodedmp的安装目录。对于csh，在 .cshrc 文件中添加如下内容：

setenv PCODEDMP_DIR /home/sayre/Software/pcodedmp

对于bash，在 .bashrc 文件中添加如下内容：

export PCODEDMP_DIR=/home/sayre/Software/pcodedmp

使用VBASeismograph

要获取帮助信息，运行：

vba_seismograph.py -h

要检查Office文件 FOO（Excel或Word文件），运行：

vba_seismograph.py FOO

要获取p-code和VBA源代码之间差异的详细信息，运行：

vba_seismograph.py -v FOO

3. 应用案例和最佳实践

以下是使用VBASeismograph的一些案例和最佳实践：

• 在安全审计过程中，对怀疑含有恶意VBA代码的Office文档进行检查。
• 在软件发布前，检查VBA代码是否被意外修改。
• 定期对开发环境中的Office文档进行扫描，确保代码的完整性。

4. 典型生态项目

VBASeismograph 是一个独立的工具，但与其他安全相关的开源项目配合使用，可以构建更完整的安全解决方案。以下是一些典型的生态项目：

• oletools: 一套用于分析Microsoft Office文档的工具，包括olevba。
• OfficeMalScanner: 用于扫描Office文档中恶意代码的工具。
• VBA Code Protection: 用于加密和保护VBA代码的项目。

通过这些工具的组合使用，可以更全面地保护Office文档中的VBA代码不受篡改和恶意利用。