تحليل PDF التفاعلي

يتيح تحليل PDF التفاعلي (المعروف أيضًا باسم IPA) لأي باحث استكشاف التفاصيل الداخلية لأي ملف PDF. قد تُستخدم ملفات PDF لحمل حمولات خبيثة تستغل الثغرات الأمنية، ومشكلات برامج عرض PDF، أو قد تُستخدم في حملات التصيّد الاحتيالي كأدوات هندسة اجتماعية. الهدف من هذا البرنامج هو تمكين أي محلل من التعمق بنفسه في ملف PDF. عبر IPA، يمكنك استخراج الحمولات المهمة من ملفات PDF، وفهم العلاقات بين الكائنات، واستنتاج العناصر التي قد تكون مفيدة لفرز الحمولات الخبيثة أو غير الموثوقة.

الإلهام الرئيسي يعود إلى الأشخاص الرائعين وراء Zynamics، ومنتجهم الممتاز المسمى PDF dissector.

تبسيط تحليل ملفات PDF

عندما بدأت في الهندسة العكسية للبرمجيات الخبيثة، كانت الأداة الرئيسية المتاحة لتحليل الحمولات الخبيثة تتكون من أدوات Didier Stevens الممتازة. بعد أن أصبحت معيارًا فعليًا، كان أحد المشاكل الرئيسية في هذه الأدوات هو أنها تُستخدم من سطر الأوامر، مما يتطلب تذكر مجموعة كبيرة جدًا من الأعلام، والإبلاغ عن أرقام الكائنات المختلفة. على الرغم من أن المحللين والمطورين يتعاملون مع جميع أنواع أدوات سطر الأوامر يوميًا، إلا أن هذا لا يعني أننا لا نستطيع إنشاء أداة رسومية جديدة لفحص الملفات.

في الواقع، يركز جزء من مجالات التحليل الساكن والهندسة العكسية أيضًا على كيفية عرض المعلومات الأكثر أهمية للمحلل من وجهة نظر تجربة المستخدم. أدوات Didier Stevens، وكذلك peepdf، مستخدمة بالفعل ومجربة جيدًا. ومع ذلك، يمكن للمحلل استخدام شيء رسومي ليتمكن من فهم العلاقة بين الكائنات المختلفة، وفهم الصفحات التي تشير إليها وأنواع الكائنات (الصور، الخطوط، الألوان، البيانات الوصفية)، وتصدير محتوى التدفقات بطريقة بسيطة، ورؤية محتوى القواميس في شكل جدول.

المصدر الرئيسي للإلهام يأتي من الأداة التي طورتها Zynamics المسماة PDF-dissector: الملاحظات الممتازة من بعض المستخدمين السابقين والطلبات المستمرة لإصدارها مفتوحة المصدر حفزتني لقضاء بضعة أيام في إنشاء هذه الأداة.

الميزات

• استخراج وتحليل البيانات الوصفية لتحديد المنشئ وتاريخ الإنشاء وسجل التعديلات والتفاصيل الأساسية الأخرى حول ملف PDF.
• فحص بنية مستند PDF من خلال تحليل كائناته (مثل النصوص والصور والخطوط) وصفحاته لفهم علاقاتها ومحتواها وتخطيطها.
• تصور المراجع التي تشير إلى كائنات أو مواقع أخرى داخل الملف، مثل الصور أو الخطوط أو أقسام محددة.
• استخراج وحفظ تدفقات البيانات الخام من ملف PDF إلى موقع محدد، مما يسمح بفحص وتحليل مفصل للمحتوى الثنائي الأساسي.
• تنفيذ تحليل أخف يحاول إنقاذ المعلومات القابلة للاستخدام من ملف PDF تالف أو متضرر جزئيًا، حتى عندما تفشل طرق التحليل التقليدية.
• لا يتطلب أي برامج إضافية أو مكتبات أو خدمات خارجية ليعمل بفضل pdf-rs وتوافق Rust.

التثبيت

يمكن تجميع الأداة باستخدام Rust وcargo. لا توجد تبعيات مطلوبة بخلاف Rust والحزم المسحوبة.

git clone https://github.com/seekbytes/IPA
cd IPA

## compile with debug symbols, the binary is inside ./target/debug/IPA
cargo b 

## compile in release mode, the binary is inside ./target/release IPA
cargo b --release

الشكر

• فريق pdf-rs على مكتبتهم الرائعة (إذا واجهت أي مشاكل في تحليل ملف PDF، قد ترغب في فتح تذكرة لهم)
• Zynamics على الإلهام لـ pdf dissector
• egui على وضع واجهة المستخدم الرسومية الفوري المتين

القيود

لدى IPA القيود التالية في الوقت الحالي:

• قليل من الاستدلالات (إذا كنت ترغب في اقتراح بعضها، يرجى فتح تذكرة جديدة أو مراسلتي عبر البريد الإلكتروني)
• لا يوجد دعم لـ PDF المشفر (يتعطل عند الفتح، قريبًا سأطبق طريقة للتعامل معه إذا كنت تعرف كلمة المرور)
• ليس كل ملف PDF مدعومًا بسبب بعض المتطلبات الصارمة التي يفترضها pdf-rs عند فتحه. إذا كان لديك ملف PDF يجب أن يكون قابلًا للتحليل، يرجى فتح تذكرة في مستودع pdf-rs.
• بعض أنواع الكائنات غير قابلة للعرض أصليًا. هذا شيء ما زلت أفكر فيه: على سبيل المثال العناصر الرسومية والألوان.

في النهاية، يمكن تحسين الأداة حقًا وأراهن أن بعض الأشخاص سيلاحظون مدى سوء الكود الخاص بي. إذا كنت أحد هؤلاء، يرجى إخباري بالتحسينات المحتملة والأنماط الأفضل وأي اقتراح.

التواصل

إذا واجهت أي مشاكل أو تحسينات، أو أردت فقط مراسلتي، راسلني على [email protected].