PDFを巡る冒険

PDFを巡る冒険 Natsumi FURUKAWA 脆弱性診断関連の業務に従事する犬派 LCL-Tokyo 2024/3/23

$ whoami ・Natsumi FURUKAWA ・某セキュリティベンダで脆弱性診断やったりPMやったり　・今回は業務関係ない、趣味の話です・最近やらかしたこと　・今日、メインの財布を忘れてきた　　(楽天Payヘビーユーザ)

MalDoc in PDF ・悪意のあるWordファイルを PDFに埋め込む・PDFの構造だがWordで開くことができる　・PDFと認識される　・検出システムの回避 https://blogs.jpcert.or.jp/ja/2023/08/maldocinpdf.html

What is PDF? ・汎用性の高い文書フォーマット・Adobeによる開発、ISOで標準化・元のレイアウト通りに表示・印刷できる・圧縮、しおり、リンク、注釈、フォーム機能など多様な機能

PDFの変わった機能・音声、動画、3Dデータなどリッチコンテンツの埋め込み・地図情報の埋め込み　実は私も見たことがないのでよく知らない AdobeのYoutubeチャンネル@AdobeDocumentCloudJPが詳しい

テキストエディタで開いてみる・HTMLのような構造

PDF解析ツール・更新が途絶えているものも多い・RUPS ・https://github.com/itext/i7j-rups https://github.com/itext/i7j-rups/releases/tag/7.2.5

RUPSで開いてみる・木構造・CreationDate、Createrなどメタデータの存在・Dictionary、Pagesなど繰り返し登場する単語

PDFの基本構造・ヘッダ　バージョンが記載・ボディ　インダイレクトオブジェクトの羅列 (後述) ・クロスリファレンステーブル　インダイレクトオブジェクトの位置　PDFが途中のページからでも瞬時に読み込めるのはこれのおかげ・トレーラー
　クロスリファレンステーブルと特殊なオブジェクトを　素早く読み込むためのもの

PDFはオブジェクトの集合体(1) • Boolean • Number • String • Name •
Array • Dictionary • Stream …データが圧縮されている • The null object なんとなく言語の変数の型っぽい

PDFはオブジェクトの集合体(2) ・オブジェクトは複数のオブジェクトを含むことができる

インダイレクトオブジェクト・他のオブジェクトから参照される、ラベルづけされたオブジェクト・6 0 obj〜endobj までがインダイレクトオブジェクト・先頭の「6」がオブジェクトの番号・このオブジェクトは番号7, 8のインダイレクトオブジェクトを参照

余談：PDFマルウェアの検知手法・表層解析・動的解析・静的解析　・PDFの構造の解析　　・インダイレクトオブジェクトの参照構造等に破綻がある　　・オブジェクトに疑わしいURLが挿入されているなど...

もっと詳しく知りたい人向け・Adobeの出しているPDF reference 　・ただし1310ページある・書籍「PDF構造解説」　・https://www.amazon.co.jp/dp/4873115493 　・ただし10年以上前　・とはいえ、PDFの仕様はそこまで変化はない

まとめ・PDFは様々なオブジェクトからなる　木構造をとっている・PDFは実は色々なことができる　・脆弱性の原因にも... ・PDFの仕様は人類には難しい今日の内容の元ネタの登壇者ブログ記事です

PDFを巡る冒険

PDFを巡る冒険

RussianBlue25

Other Decks in Technology

Featured

Transcript