Open XML应用安全(2)OLE机制

简介:

Open XML应用安全(2OLE机制

OLEObject Linking and Embedding,对象连接与嵌入)不仅是桌面应用程序集成,而且还定义和实现一种允许应用程序作为软件对象”(数据集合和操作数据函数)彼此进行连接机制,这种连接机制和协议称为部件对象模型(Component Object ModelCOM)。

OLE可以用来创建复合文档,复合文档包含创建于不同源应用程序,有着不同类型数据,因此它可以把文字、声音、图像、表格、应用程序等组合在一起。

但对OLE支持也带来一些安全性问题,如在Outlook 2002及以上版本中,黑客如果在邮件中嵌入危险OLE对象,就可以对其肆意伪装,有可能骗过用户导致安全问题。

OLE2OLE对象升级版本。

Office宏也是作为OLE2对象嵌入到文档中,下面看在Word中创建一个Excel文档例子。

首先在Word文档中选择插入→表格→Excel电子表格,如图14-23所示。

14-23  插入电子表格

执行图14-23操作后得到图14-24所示结果。

14-24  Word中插入Excel表格

实际上,插入Excel会作为一个OLE2对象存储在对应ZIP逻辑目录下,然后通过关系加载到主文档中。对于.docx文档,OLE对象通常存储在word\embeddings目录下,如图14-25所示。

14-25  OLE对象在Word存储

OLE对象以它原生格式存储在ZIP包中。还有另一类OLE对象称为OLE Package对象,这类对象可以包含任意文件,并且可以设置命令。OLE Package对象以OLE2二进制格式存储。

如果嵌入一个恶意OLE对象,或者恶意程序替换或者向文档中添加恶意OLE对象,都会造成很严重后果。

如果应用场景有需要,无法完全避免OLE对象执行,但是可以借助杀毒软件来减弱Office文档危害。如果还不是很放心,可以通过程序处理OLE对象,删除或者重命名。只要有个解压缩工具就可以完成这样工作,下面提供一小段代码,见代码清单14-21

代码清单14-21  删除OLE对象

        public static void RemovePart(string document)

        {

            using (WordprocessingDocument wordDoc = WordprocessingDocument.Open(document, true))

            {

                MainDocumentPart mainPart = wordDoc.MainDocumentPart;

                if (mainPart.DocumentSettingsPart != null)

                {

                    mainPart.DeleteParts(mainPart.EmbeddedObjectParts);

                    mainPart.DeleteParts(mainPart.EmbeddedPackageParts);

                }

            }

        }

提示使用以上代码之前,需要在项目中添加对DocumentFormat.OpenXml.dll引用,才能够使用Open XML SDK提供API

在代码中,首先获取主文档对象MainDocumentPart,使用mainPart.EmbeddedObjectPartsmainPart.EmbeddedPackageParts分别获取文档中OLE对象和OLE Package对象,最后调用MainDocumentPartDeleteParts方法删除它们。

如果防止恶意添加或者修改OLE对象,可以对Open XML文档进行数字签名,在后面的博文会进行讲解。

 --------------------------注:本文部分内容改编自《.NET 安全揭秘》


本文转自玄魂博客园博客,原文链接:http://www.cnblogs.com/xuanhun/archive/2012/06/24/2560122.html,如需转载请自行联系原作者

目录
相关文章
|
XML 开发工具 数据格式
|
XML 数据格式
Office文件的Open Xml 格式
获取Office文件的Open Xml格式文件的步骤如下:   1.修改想要得到OpenXml格式文件的文件后缀名为.rar.   2.解压即可得到。 此时可以对xml文件进行操作,要想再次把这已经解压后的文件还原为原office文件,必须要把已经解压后的文件添加成.
1019 0
|
XML 开发工具 数据格式
|
XML 开发工具 数据格式
Office Open XML学习(1)-创建excel文档,并向单元格中插入字符串
做企业级应用,跟office打交道是少不了的。这里的Office不仅仅局限于微软的Office,还有第三方的Open Office之类。.Net传统的Office操作方法(比如OleDB,OWC之类),有几大缺点: 一是不通用(仅能处理微软的Office,不能与其它非Windows平台交换数据),二是性能差(导出一个Excel,如果记录数上万条,速度很慢),三是服务器通常要安装Office Web Components(即OWC组件)。
1177 0
|
2月前
|
XML 前端开发 Java
讲解SSM的xml文件
本文详细介绍了SSM框架中的xml配置文件,包括springMVC.xml和applicationContext.xml,涉及组件扫描、数据源配置、事务管理、MyBatis集成以及Spring MVC的视图解析器配置。
75 1