PDF-JavaScript-Extraktor

• Multi-Source-JavaScript-Erkennung: Erkennt JavaScript aus allen PDF-Quellen: OpenAction (automatische Ausführung beim Öffnen des Dokuments), zusätzliche Aktionen (AA) auf Dokument- und Seitenebene, Namensbaumeinträge und unformatierte eingebettete JS-Streams. Kein Drehbuch bleibt unbemerkt.
• Code-Viewer mit Kontext: Zeigen Sie extrahiertes JavaScript in einem syntaxhervorgehobenen Code-Viewer mit Quellspeicherort, Triggerereignis und Seitennummer an. Jeder Eintrag zeigt seinen Ursprung (OpenAction, Page AA usw.) und die Auslösebedingung für den vollständigen Kontext.
• Verschleierung und Bedrohungserkennung: Kennzeichnet automatisch verschleiertes oder minimiertes JavaScript. OpenAction-Skripte werden als Bedrohungen mit hoher Priorität hervorgehoben, da sie automatisch ausgeführt werden. Verdächtige Muster wie eval(), ActiveXObject und Base64-Kodierung werden erkannt.
• 100 % browserlokal und privat: Die gesamte PDF-Analyse und JavaScript-Extraktion läuft vollständig in Ihrem Browser unter Verwendung von pdfjs-dist und roher Binäranalyse. Ihre PDF-Dateien und der extrahierte Code verlassen niemals Ihr Gerät. Keine Uploads, keine Server, kein Tracking.

• Malware- und Phishing-PDF-Analyse: Sicherheitsanalysten können verdächtige PDFs auf bösartiges JavaScript scannen, das beim Öffnen ausgeführt wird. OpenAction-Skripte sind ein häufiger Vektor für Drive-by-Downloads, Anmeldedaten-Phishing und die Verbreitung von Malware. Identifizieren und extrahieren Sie das eingebettete Skript schnell zur weiteren Analyse.
• Sicherheitsprüfung und Forensik: Prüfen Sie PDF-Dokumente auf versteckte oder nicht autorisierte JavaScript-Aktionen. Erkennen Sie automatisch ausgeführte Skripte, Formularvalidierungsauslöser, Mausereignishandler und Druck-/Dokumentaktionen, die ohne Wissen des Benutzers Daten herausfiltern oder das Dokumentverhalten ändern könnten.
• Reverse Engineering von PDF-Formularen: Extrahieren und analysieren Sie JavaScript aus PDF-Formularen mit komplexen Validierungs-, Berechnungs- oder Formatierungsskripten. Verstehen Sie, wie Formularfelder interagieren, welche Daten verarbeitet werden und ob das Formular Netzwerkanforderungen oder Dateivorgänge ausführt.
• Schwachstellenforschung und -tests: Forscher können PDF-basiertes JavaScript auf Browser-Plugin-Exploits, Sandbox-Escape-Versuche und ungewöhnliche API-Nutzung untersuchen. Extrahieren und studieren Sie reale PDF-JavaScript-Beispiele für die Schwachstellenforschung und die Entwicklung von Erkennungsregeln.
• Vorbereitung der Dokumentenbereinigung: Bevor Sie eine PDF-Datei bereinigen, verwenden Sie dieses Tool, um das gesamte eingebettete JavaScript zu finden und zu überprüfen. Verstehen Sie, was jedes Skript tut, damit Sie entscheiden können, ob Sie es behalten oder entfernen möchten. Passt perfekt zu PDF-Bereinigungstools für eine gründliche Dokumentenbereinigung.
• Bildung und Schulung: Erfahren Sie mehr über die Interna von PDF-JavaScript, indem Sie reale Beispiele untersuchen. Verstehen Sie OpenAction, zusätzliche Aktionen und benannte JavaScript-Einträge. Eine wertvolle Ressource für Sicherheitskurse, Schulungen zur digitalen Forensik und Schulungen zum PDF-Format.

PDF-JavaScript ist eine in der PDF-Spezifikation definierte Skriptfunktion, die es Entwicklern ermöglicht, JavaScript-Code in PDF-Dokumente einzubetten. Dieser Code kann auf Dokumentereignisse (Öffnen, Schließen, Drucken), Seitenereignisse (Eingeben, Verlassen), Formularereignisse (Tasteneingaben, Wertänderungen, Formatierung, Validierung) und Mausereignisse reagieren. PDF JavaScript verwendet eine Teilmenge der JavaScript-Sprache mit zusätzlichen Acrobat-spezifischen Objekten (App, Dokument, Konsole, Sicherheit usw.). Während seriöse PDFs JavaScript zur Formularvalidierung, automatischen Berechnung oder für interaktive Funktionen verwenden, wird dieselbe Funktion häufig von Malware-Autoren ausgenutzt, um bösartige PDFs zu erstellen, die beim Öffnen automatisch ausgeführt werden – was die JavaScript-Erkennung zu einer kritischen Sicherheitsfunktion macht.

Das Tool verwendet einen zweigleisigen Ansatz, der das Parsen von pdfjs-dist mit dem Scannen roher Binärdateien für eine gründliche JavaScript-Extraktion kombiniert:

1. Strukturierte Extraktion mit pdfjs-dist: Lädt das PDF mithilfe der pdfjs-dist-Bibliothek und durchsucht die Dokumentstruktur, um JavaScript-Einträge zu finden. Dazu gehört die Überprüfung des Katalogs auf OpenAction-Einträge (Skripte, die beim Öffnen des Dokuments ausgeführt werden), das Durchsuchen des Namenswörterbuchs nach benannten JavaScript-Aktionen, die Untersuchung zusätzlicher Aktionen (AA) auf Dokumentebene auf Speicher-/Druckereignisse und die Überprüfung jeder Seite auf AA-Einträge auf Seitenebene.
2. Rohes binäres Scannen: Analysiert die rohen PDF-Bytes mithilfe eines Regex-basierten Mustervergleichs, um JavaScript-bezogene Schlüsselwörter und Strukturen zu finden, die pdfjs-dist möglicherweise nicht über seine High-Level-API verfügbar macht. Dazu gehört die Suche nach /JavaScript-Referenzen, /OpenAction-Einträgen, /AA-Wörterbüchern mit /JS-Aktionen und Stream-Inhalten mit JavaScript-ähnlichen Codemustern.
3. Analyse und Klassifizierung: Jeder extrahierte Eintrag wird nach Quelltyp (OpenAction, DocumentAA, PageAA, NamesTree, RawStream), Triggerbedingung und Seitennummer klassifiziert. Der Code wird auf Verschleierungsmuster und verdächtige API-Nutzung analysiert. Die Ergebnisse werden in einer sortierbaren Liste mit einem Code-Viewer zur detaillierten Überprüfung angezeigt.

• OpenAction (kritisch): Die gefährlichste Quelle – JavaScript, das beim Öffnen der PDF-Datei automatisch ausgeführt wird, ohne dass ein Benutzereingriff erforderlich ist. Wird häufig für die Verbreitung von Malware und Phishing-Angriffe verwendet. Wird sofort als „Hohe Priorität“ gekennzeichnet.
• Zusätzliche Dokumentaktionen (AA): JavaScript, ausgelöst durch Ereignisse auf Dokumentebene wie WillSave, DidSave, WillPrint, DidPrint und DocumentClose. Diese Skripte werden als Reaktion auf Benutzeraktionen ausgeführt, können jedoch zur Datenexfiltration oder für dauerhaftes Verhalten verwendet werden.
• Zusätzliche Seitenaktionen (AA): JavaScript, das an bestimmte Seiten angehängt ist und durch Ereignisse auf Seitenebene wie „PageOpen“, „PageClose“ und „Eingeben/Beenden“ mit der Maus ausgelöst wird. Kann ausgeführt werden, während der Benutzer durch das Dokument navigiert.
• Benanntes JavaScript (Names Tree): JavaScript-Aktionen, die im Namenswörterbuch des Dokuments mit eindeutigen Bezeichnern registriert sind. Diese können durch andere Aktionen referenziert oder programmgesteuert ausgelöst werden. Wird oft für komplexe Formularlogik verwendet.
• Raw Stream JavaScript: JavaScript wird durch rohes Binärscannen komprimierter oder verschleierter Streams erkannt. Diese können an nicht standardmäßigen Speicherorten eingebettet sein oder eine Codierung verwenden, die sie vor High-Level-Parsern verbirgt.

Dieses Tool läuft vollständig in Ihrem Browser und verwendet clientseitiges JavaScript mit pdfjs-dist für die PDF-Analyse. Ihre PDF-Dateien, der gesamte extrahierte JavaScript-Code, die Scanergebnisse und alle von Ihnen kopierten Daten werden niemals auf einen Server hochgeladen, in einer Datenbank gespeichert oder über das Netzwerk übertragen. Sämtliche PDF-Analysen, Mustervergleiche, Verschleierungserkennung und Code-Extraktion werden lokal auf Ihrem Gerät ausgeführt. Es gibt keine API-Aufrufe, kein Analyse-Tracking, keine Cookies oder Datenerfassung jeglicher Art. Dies macht es absolut sicher für die Analyse sensibler, proprietärer oder potenziell schädlicher PDF-Dokumente.