事件会关联一个olelink对象，原理类似rtf版本，如下xml中的字段。
但对象会嵌入的是一个带有script协议头的远程地址，而url地址中的XML文件是一个恶意sct脚本。
当受害者打开恶意幻灯片文档时就会自动加载远程URL的对象，对远程服务器发起一个HTTP请求将文件下载到本地，最终客户端office进程会将下载到本地的文件当作sct脚本执行。
最新流行的第三个DOCX版本
近期我们发现有部分真实文件格式是Docx格式的文档加入了CVE-2017-0199的漏洞利用，攻击者非常巧妙的将CVE-2017-0199漏洞的RTF文件作为一个源嵌入到了Docx格式的文档中，这样导致docx文件在打开时是自动去远程获取包含0199漏洞的rtf文件，再触发后面的一连串攻击行为，这样的攻击增加了安全软件的查*难度，一些*毒软件毫无察觉！
如下图，我们会发现docx格式的文档嵌入了一个远程的文档对象：
打开文档后会自动打开远程的恶意RTF文件！
