恶意PDF文档分析记录

0x1 PDF是什么

PDF&＃xff08;便携式文件格式&＃xff0c;Portable Document Format&＃xff09;是由Adobe Systems在1993年用於文件交换所发展出的文件格式。
因为PDF的文件格式性质广泛用于商业办公&＃xff0c;引起众多攻击者对其开展技术研究&＃xff0c;在一些APT&＃xff08;Advanced Persistent Threat&＃xff09;攻击中。针对特定目标投递含有恶意代码的PDF文档&＃xff0c;安全意识薄弱的用户只要打开PDF文档就会中招。

0x2 PDF解析工具

PdfStreamDumper &＃xff1a; 这是一款可以对恶意的PDF文档进行分析的免费工具

以下是利用漏洞【CVE-2010-0188】的恶意PDF文档样本&＃xff0c;文档中的Payload为异或加密。

图1

pdfid.py &＃xff1a; 这个工具不是PDF解析器&＃xff0c;但是它会扫描一个文件来寻找特定的PDF关键字&＃xff0c;让我们识别包含Javascript的PDF文件。

pdfid.py xxx.pdf

图2

0x3 PDF格式解析

使用pdfid.py解析之后会列出PDF当前的格式字段。

C:\>python pdfid.py xx.pdfPDFiD 0.2.1 93c803.pdfPDF Header: %PDF-1.7obj 60endobj 60stream 30endstream 30xref 1trailer 1startxref 1/Page 3/Encrypt 0/ObjStm 0/JS 0/Javascript 0/AA 0/OpenAction 0/AcroForm 0/JBIG2Decode 3/RichMedia 0/Launch 0/EmbeddedFile 0/XFA 0/Colors > 2^24 0

每一个PDF文件都包含有前7个字段&＃xff0c;也有可能不包含strea和endstream。据说有一些ODF文件没有xref或则trailer&＃xff0c;但是这种情况比较少见。如果一个PDF文件没有xref或者trailer关键字段&＃xff0c;那么可以确定它不是恶意的PDF文件。

/xref 交叉引用表&＃xff0c;描述每个间接对象的编号、版本和绝对的文件位置。PDF文档中的第一个索引必须从版本65535的0号对象开始&＃xff0c;标识符/xref后面的第一个数字是第一个间接对象&＃xff08;即0号对象&＃xff09;的编号&＃xff0c;第二个数字是/xref&＃xff08;交叉引用表&＃xff09;的大小。

/Page指明PDF文件的页数&＃xff0c;大多数恶意PDF文件仅仅只有一页

/Encrypt指明PDF文件有数字水印或者是被加密过的。

/ObjStm是object streams的数量。object streams是一个可以包含其他Object对象的数据流对象。

/JS与/Javascript指明PDF文件中含嵌有Javascript代码。通常恶意的PDF文件都嵌套有Javascript代码&＃xff0c;这里一般都是利用Javascript的解析漏洞或者使用Javascript来实现堆喷射&＃xff08;heap spray&＃xff09;&＃xff0c;也有很多正常的PDF文件里会含有Javascript代码

/AA、/OpenAction和/AcroForm指明当查看PDF文件或者PDF的某页时会有动作随其执行&＃xff0c;几乎所有嵌有Javascript代码的恶意PDF文件都有自动执行Javascript代码的动作(action)。如果一个PDF文件包含有/AA或/OpenAction自动执行动作的关键字段&＃xff0c;而且含有Javascript代码&＃xff0c;那么这个PDF文件就极有可能是恶意的PDF文件

/URI 如果你要在PDF文件中执行打开网页的动作就需要这个关键字段

/Filter 一般为FlateDecode则是使用了Zlib压缩解压缩算法。

/JBIG2Decode指明PDF文件使用了JBIG2压缩。虽然JBIG2压缩本身可能会有漏洞&＃xff08;CVE-2010-1297&＃xff09;。但/JBIG2Decode关键字段并不能说明PDF文件是否可疑

/RichMedia Flash文件

/Launch执行动作(action)数量

0x4 参考

PDF格式详解
http://blog.csdn.net/bobob/article/details/751381
PDF Tools
https://blog.didierstevens.com/programs/pdf-tools/
恶意PDF文件解析思路
https://wenku.baidu.com/view/0c05dd996529647d27285224.html