用途：分析钓鱼附件（PDF/Office/RTF）、文档漏洞利用样本、宏文档及文档型恶意载荷，还原“宏→脚本→可执行→回连”的载荷提取链。仅拿到单文档样本时适用；纯脚本宏转 re-script-deob，文档仅为载体时分析下载载荷，仅有网关元数据则需先取得样本。动态打开文档必须在沙箱内进行。
主要能力与工具：pdf-parser/pdfid 做 PDF 结构分析（apt install pdf-parser pdfid，或 DidierStevensSuite 源码运行）；qpdf 解压对象流（qpdf --qdf --object-streams=disable in.pdf out.pdf）；oletools 提供 olevba、rtfobj、oleobj、msodde、oleid、mraptor（pip install oletools）；oledump 为独立工具，需 pip install olefile；xlmdeobfuscator 处理 Excel 4.0 宏表；7z 解包 OLE/OOXML；LibreOffice 用于沙箱验证（默认不执行 VBA）。
使用方式：先 file 识别类型（%PDF、CFB、PK、{\rtf），再按分支分析。PDF 用 pdfid.py 速览、pdf-parser -f/-s /JS/-s /OpenAction/-O 查恶意特征；Office 用 olevba -c 提取宏、--decode/--deobf 去混淆，检查 DDE、外部链接、OLE 嵌入对象与 XLM 宏表；RTF 用 rtfobj 提取嵌入对象；OOXML 用 7z 解包后检查 rels 中的远程模板注入。每步产物存档路径与 sha256，提取指标交 re-ioc，初勘交 re-triage。
限制与坑：PDF 对象流压缩未解会漏 /JS，需 -f 或 -O；VBA stomping 时源码与 P-code 执行不一致，以动态行为为准；宏混淆需逐层解码；MOTW 会拦截宏，需 Unblock-File 或删 Zone.Identifier；检测型文档可能延迟触发，需延长观察并模拟交互；模板注入易漏，须核对全部 rels 文件。更多边界见 gotchas 与 decision-tree。