PDF-экстрактор JavaScript

• Обнаружение JavaScript из нескольких источников: обнаруживает JavaScript из всех источников PDF: OpenAction (автоматическое выполнение при открытии документа), дополнительные действия (AA) на уровне документа и страницы, записи дерева имен и необработанные встроенные потоки JS. Ни один сценарий не остается незамеченным.
• Средство просмотра кода с контекстом: просмотрите извлеченный код JavaScript в средстве просмотра кода с подсветкой синтаксиса, указанием местоположения источника, триггерного события и номера страницы. Каждая запись показывает свое происхождение (OpenAction, Page AA и т. д.) и условие триггера для полного контекста.
• Обфускация и обнаружение угроз: автоматически помечает запутанный или минифицированный JavaScript. Скрипты OpenAction выделяются как высокоприоритетные угрозы, поскольку они выполняются автоматически. Обнаруживаются подозрительные шаблоны, такие как eval(), ActiveXObject и кодировка Base64.
• 100% локальность и конфиденциальность в браузере: весь анализ PDF-файлов и извлечение JavaScript полностью выполняются в вашем браузере с использованием pdfjs-dist и необработанного двоичного анализа. Ваши PDF-файлы и извлеченный код никогда не покинут ваше устройство. Никаких загрузок, никаких серверов, никакого отслеживания.

• Анализ PDF-файлов на наличие вредоносных программ и фишинга. Аналитики безопасности могут сканировать подозрительные PDF-файлы на наличие вредоносного кода JavaScript, который запускается при открытии. Скрипты OpenAction являются распространенным вектором попутных загрузок, фишинга учетных данных и доставки вредоносного ПО. Быстро идентифицируйте и извлекайте встроенный сценарий для дальнейшего анализа.
• Аудит безопасности и криминалистика: проверяйте PDF-документы на предмет скрытых или несанкционированных действий JavaScript. Обнаруживайте сценарии автоматического выполнения, триггеры проверки форм, обработчики событий мыши и действия печати/документа, которые могут украсть данные или изменить поведение документа без ведома пользователя.
• Реверс-инжиниринг PDF-форм. Извлекайте и анализируйте JavaScript из PDF-форм с помощью сложных сценариев проверки, расчета или форматирования. Узнайте, как взаимодействуют поля формы, какие данные обрабатываются и выполняет ли форма какие-либо сетевые запросы или операции с файлами.
• Исследование и тестирование уязвимостей. Исследователи могут исследовать JavaScript на основе PDF на наличие эксплойтов плагинов браузера, попыток выхода из песочницы и необычного использования API. Извлекайте и изучайте реальные примеры JavaScript в формате PDF для исследования уязвимостей и разработки правил обнаружения.
• Подготовка к очистке документа. Прежде чем очищать PDF-файл, воспользуйтесь этим инструментом, чтобы найти и просмотреть весь встроенный код JavaScript. Поймите, что делает каждый сценарий, чтобы вы могли решить, сохранить его или удалить. Идеально сочетается с инструментами очистки PDF для тщательной очистки документов.
• Образование и обучение: узнайте о внутреннем устройстве PDF JavaScript на реальных примерах. Понимание OpenAction, дополнительных действий и именованных записей JavaScript. Ценный ресурс для курсов по безопасности, обучения цифровой криминалистике и обучения в формате PDF.

PDF JavaScript — это функция сценариев, определенная в спецификации PDF, которая позволяет разработчикам встраивать код JavaScript в документы PDF. Этот код может реагировать на события документа (открытие, закрытие, печать), события страницы (вход, выход), события формы (нажатия клавиш, изменение значений, форматирование, проверка) и события мыши. PDF JavaScript использует подмножество языка JavaScript с дополнительными объектами, специфичными для Acrobat (приложение, документ, консоль, безопасность и т. д.). В то время как законные PDF-файлы используют JavaScript для проверки форм, автоматического расчета или интерактивных функций, эта же возможность часто используется авторами вредоносных программ для создания вредоносных PDF-файлов, которые автоматически запускаются при открытии, что делает обнаружение JavaScript критически важным средством безопасности.

Инструмент использует двусторонний подход, сочетающий анализ pdfjs-dist с необработанным двоичным сканированием для тщательного извлечения JavaScript:

1. Структурированное извлечение pdfjs-dist: загружает PDF-файл с помощью библиотеки pdfjs-dist и просматривает структуру документа для поиска записей JavaScript. Сюда входит проверка каталога на наличие записей OpenAction (сценариев, которые запускаются при открытии документа), сканирование словаря имен на предмет именованных действий JavaScript, проверка дополнительных действий (AA) на уровне документа на предмет событий сохранения/печати и проверка каждой страницы на наличие записей AA на уровне страницы.
2. Необработанное двоичное сканирование: анализирует необработанные байты PDF, используя сопоставление с шаблоном на основе регулярных выражений, чтобы найти ключевые слова и структуры, связанные с JavaScript, которые pdfjs-dist может не предоставлять через свой высокоуровневый API. Сюда входит поиск ссылок /JavaScript, записей /OpenAction, словарей /AA, содержащих действия /JS, а также потокового контента с шаблонами кода, подобными JavaScript.
3. Анализ и классификация: каждая извлеченная запись классифицируется по типу источника (OpenAction, DocumentAA, PageAA, NamesTree, RawStream), условию триггера и номеру страницы. Код анализируется на наличие шаблонов обфускации и подозрительного использования API. Результаты отображаются в сортируемом списке со средством просмотра кода для детальной проверки.

• OpenAction (Critical): Самый опасный источник — JavaScript, который выполняется автоматически при открытии PDF-файла без какого-либо взаимодействия с пользователем. Обычно используется для доставки вредоносного ПО и фишинговых атак. Мгновенно помечается как высокоприоритетный.
• Дополнительные действия документа (AA): JavaScript, инициируемый событиями уровня документа, такими как WillSave, DidSave, WillPrint, DidPrint и DocumentClose. Эти сценарии запускаются в ответ на действия пользователя, но могут использоваться для кражи данных или постоянного поведения.
• Дополнительные действия страницы (AA): JavaScript, прикрепленный к определенным страницам и запускаемый событиями уровня страницы, такими как PageOpen, PageClose и вход/выход с помощью мыши. Может выполняться при навигации пользователя по документу.
• Именованный JavaScript (дерево имен): действия JavaScript, зарегистрированные в словаре имен документа с уникальными идентификаторами. На них могут ссылаться другие действия или запускать их программно. Часто используется для логики сложной формы.
• Raw Stream JavaScript: JavaScript обнаруживается посредством необработанного двоичного сканирования сжатых или запутанных потоков. Они могут быть встроены в нестандартные места или использовать кодировку, скрывающую их от анализаторов высокого уровня.

Этот инструмент полностью работает в вашем браузере, используя клиентский JavaScript с pdfjs-dist для анализа PDF. Ваши PDF-файлы, весь извлеченный код JavaScript, результаты сканирования и любые копируемые вами данные никогда не загружаются на какой-либо сервер, не сохраняются в какой-либо базе данных и не передаются по сети. Весь анализ PDF-файлов, сопоставление с образцом, обнаружение обфускации и извлечение кода выполняются локально на вашем устройстве. Здесь нет вызовов API, аналитического отслеживания, файлов cookie или сбора данных любого рода. Это делает его абсолютно безопасным для анализа конфиденциальных, патентованных или потенциально вредоносных PDF-документов.