Extractor de PDF-JavaScript

• Detección de JavaScript de múltiples fuentes: Detecta JavaScript de todas las fuentes de PDF: OpenAction (ejecución automática al abrir el documento), acciones adicionales (AA) a nivel de documento y página, entradas del árbol de nombres y secuencias JS incrustadas sin formato. Ningún guión pasa desapercibido.
• Visor de código con contexto: vea JavaScript extraído en un visor de código resaltado con sintaxis con ubicación de origen, evento desencadenante y número de página. Cada entrada muestra su origen (OpenAction, Page AA, etc.) y la condición de activación para un contexto completo.
• Ofuscación y detección de amenazas: marca automáticamente JavaScript ofuscado o minimizado. Los scripts de OpenAction se destacan como amenazas de alta prioridad ya que se ejecutan automáticamente. Se detectan patrones sospechosos como eval(), ActiveXObject y codificación Base64.
• 100% local del navegador y privado: todo el análisis de PDF y la extracción de JavaScript se ejecutan completamente en su navegador mediante pdfjs-dist y análisis binario sin formato. Sus archivos PDF y el código extraído nunca salen de su dispositivo. Sin cargas, sin servidores, sin seguimiento.

• Análisis de PDF de malware y phishing: los analistas de seguridad pueden escanear archivos PDF sospechosos en busca de JavaScript malicioso que se ejecute al abrirlos. Los scripts de OpenAction son un vector común para descargas no autorizadas, phishing de credenciales y entrega de malware. Identifique y extraiga rápidamente el script incrustado para su posterior análisis.
• Auditoría de seguridad y análisis forense: audite documentos PDF en busca de acciones de JavaScript ocultas o no autorizadas. Detecte scripts de ejecución automática, activadores de validación de formularios, controladores de eventos del mouse y acciones de impresión/documento que podrían filtrar datos o modificar el comportamiento del documento sin el conocimiento del usuario.
• Formularios PDF de ingeniería inversa: extraiga y analice JavaScript de formularios PDF con scripts complejos de validación, cálculo o formato. Comprenda cómo interactúan los campos del formulario, qué datos se procesan y si el formulario realiza solicitudes de red u operaciones de archivos.
• Investigación y pruebas de vulnerabilidades: los investigadores pueden examinar JavaScript basado en PDF en busca de vulnerabilidades de complementos del navegador, intentos de escape de la zona de pruebas y uso inusual de API. Extraiga y estudie muestras de JavaScript en PDF del mundo real para la investigación de vulnerabilidades y el desarrollo de reglas de detección.
• Preparación para la desinfección de documentos: antes de desinfectar un PDF, utilice esta herramienta para localizar y revisar todo el JavaScript incrustado. Comprenda qué hace cada script para que pueda decidir si conservarlo o eliminarlo. Combina perfectamente con herramientas de desinfección de PDF para una limpieza exhaustiva de documentos.
• Educación y capacitación: aprenda sobre los aspectos internos de JavaScript de PDF examinando ejemplos reales. Comprenda OpenAction, acciones adicionales y entradas de JavaScript con nombre. Un recurso valioso para cursos de seguridad, capacitación en ciencia forense digital y educación en formato PDF.

PDF JavaScript es una función de secuencias de comandos definida en la especificación PDF que permite a los desarrolladores incrustar código JavaScript en documentos PDF. Este código puede responder a eventos de documentos (apertura, cierre, impresión), eventos de página (entrada, salida), eventos de formulario (presiones de teclas, cambios de valores, formato, validación) y eventos del mouse. PDF JavaScript utiliza un subconjunto del lenguaje JavaScript con objetos adicionales específicos de Acrobat (aplicación, documento, consola, seguridad, etc.). Si bien los archivos PDF legítimos utilizan JavaScript para la validación de formularios, el cálculo automático o funciones interactivas, los autores de malware frecuentemente explotan la misma capacidad para crear archivos PDF maliciosos que se ejecutan automáticamente al abrirlos, lo que hace que la detección de JavaScript sea una capacidad de seguridad crítica.

La herramienta utiliza un enfoque doble que combina el análisis pdfjs-dist con el escaneo binario sin formato para una extracción exhaustiva de JavaScript:

1. Extracción estructurada de pdfjs-dist: carga el PDF utilizando la biblioteca pdfjs-dist y recorre la estructura del documento para encontrar entradas de JavaScript. Esto incluye verificar el catálogo en busca de entradas OpenAction (scripts que se ejecutan cuando se abre el documento), escanear el diccionario de nombres en busca de acciones JavaScript nombradas, examinar acciones adicionales (AA) a nivel de documento para eventos de guardar/imprimir y verificar cada página en busca de entradas AA a nivel de página.
2. Escaneo binario sin formato: analiza los bytes de PDF sin formato utilizando la coincidencia de patrones basada en expresiones regulares para encontrar palabras clave y estructuras relacionadas con JavaScript que pdfjs-dist podrían no exponer a través de su API de alto nivel. Esto incluye la búsqueda de referencias de /JavaScript, entradas de /OpenAction, diccionarios /AA que contienen acciones /JS y secuencias de contenido con patrones de código similares a JavaScript.
3. Análisis y clasificación: cada entrada extraída se clasifica por tipo de fuente (OpenAction, DocumentAA, PageAA, NamesTree, RawStream), condición de activación y número de página. El código se analiza en busca de patrones de ofuscación y uso sospechoso de API. Los resultados se muestran en una lista ordenable con un visor de códigos para una inspección detallada.

• OpenAction (crítico): la fuente más peligrosa: JavaScript que se ejecuta automáticamente cuando se abre el PDF, sin ninguna interacción del usuario. Comúnmente utilizado para la entrega de malware y ataques de phishing. Marcado instantáneamente como de alta prioridad.
• Acciones adicionales del documento (AA): JavaScript activado por eventos a nivel de documento como WillSave, DidSave, WillPrint, DidPrint y DocumentClose. Estos scripts se ejecutan en respuesta a las acciones del usuario, pero se pueden utilizar para la filtración de datos o para un comportamiento persistente.
• Acciones adicionales de página (AA): JavaScript adjunto a páginas específicas, activado por eventos a nivel de página como PageOpen, PageClose y entrada/salida del mouse. Puede ejecutarse mientras el usuario navega por el documento.
• JavaScript con nombre (árbol de nombres): acciones de JavaScript registradas en el diccionario de nombres del documento con identificadores únicos. Estas pueden ser referenciadas por otras acciones o activadas mediante programación. A menudo se utiliza para lógica de forma compleja.
• JavaScript de flujo sin formato: JavaScript detectado mediante escaneo binario sin formato de flujos comprimidos u ofuscados. Estos pueden estar incrustados en ubicaciones no estándar o utilizar una codificación que los oculte de los analizadores de alto nivel.

Esta herramienta se ejecuta completamente en su navegador utilizando JavaScript del lado del cliente con pdfjs-dist para el análisis de PDF. Sus archivos PDF, todo el código JavaScript extraído, los resultados del escaneo y cualquier dato que copie nunca se cargan en ningún servidor, no se almacenan en ninguna base de datos ni se transmiten a través de la red. Todo el análisis de PDF, la coincidencia de patrones, la detección de ofuscación y la extracción de código se ejecutan localmente en su dispositivo. No hay llamadas API, seguimiento de análisis, cookies ni recopilación de datos de ningún tipo. Esto lo hace completamente seguro para analizar documentos PDF confidenciales, propietarios o potencialmente maliciosos.