ParanoiDF

Швейцарский нож среди инструментов анализа PDF. Основан на peepdf - http://peepdf.eternal-todo.com. Этот README основан на README peepdf.

Этот инструмент был разработан в рамках моей магистерской диссертации/проекта для Школы компьютерных наук (Университет Кента, Кентербери, Великобритания). Идея этого инструмента принадлежит Julio Hernandez-Castro (www.azhala.com).

Главная страница

• https://github.com/patrickdw123/ParanoiDF
• patrickdw123(at)gmail(dot)com
• http://uk.linkedin.com/pub/patrick-wragg/8a/a7a/324/

Возможности

См. https://github.com/patrickdw123/ParanoiDF/wiki.

Зависимости

• Для взлома паролей:
  • требуется PdfCrack (apt-get install pdfcrack)
• Для снятия DRM (редактирование, копирование и т.д.):
  • требуется ebook-convert из Calibre (apt-get install calibre)
• Для расшифровки PDF-файлов:
  • требуется qpdf (apt-get install qpdf)
• Для использования команды redact:
  • требуется NLTK (Natural Language ToolKit) (apt-get install python-nltk)
  • требуется Java (парсер Stanford написан на Java) (apt-get install default-jre)
• Для поддержки XML-вывода нужен "lxml":
  • http://lxml.de/installation.html
• Включённые модули: lzw, colorama, jsbeautifier, ccitt, pythonaes (Спасибо всем разработчикам!!)

Установка

Установка не требуется, кроме перечисленных зависимостей; просто выполните:

python paranoiDF.py

Запуск

При запуске ParanoidF есть два важных параметра:

-f: Игнорирует ошибки разбора. Анализ вредоносных файлов, вероятно, приводит к ошибкам разбора, поэтому этот параметр следует устанавливать. -l: Устанавливает свободный режим (loose mode), поэтому не ищет тег endobj, поскольку он не обязателен. Полезен для повреждённых файлов.

• Простой запуск

Показывает статистику файла после декодирования/расшифровки и анализа:

python paranoiDF.py [options] pdf_file

• Интерактивная консоль

Запускает интерактивную консоль, предоставляя широкий набор инструментов для работы.

python paranoiDF.py -i 

• Пакетный запуск

Можно использовать файл команд, чтобы указать команды, выполняемые в пакетном режиме. Такой тип запуска хорошо подходит для автоматизации анализа нескольких файлов:

python paranoiDF.py [options] -s script_file 

Несколько советов

Если информации, отображаемой при разборе PDF-файла, недостаточно, чтобы понять, вредоносный ли он, следующие команды могут помочь:

• tree

Показывает древовидный граф файла или указанной версии. Здесь можно увидеть подозрительные элементы.

• offsets

Показывает физическую карту файла или указанной версии документа. Это помогает заметить необычно большие объекты или большие промежутки между объектами.

• search

Ищет указанную строку или шестнадцатеричную строку в объектах (включая декодированные и зашифрованные потоки).

• object/rawobject

Показывает (необработанное) содержимое объекта.

• stream/rawstream

Показывает (необработанное) содержимое потока.

TODO (с датами, когда я планирую начать работу)

V2.0:

• Уточнить и протестировать пороговые значения редактирования: 30/08/2014
• Добавить автоматизацию получения информации о блоке редактирования, такой как размер шрифта, шрифт и координаты блока редактирования: 30/08/2014
• Добавить другие алгоритмы шифрования (например, AES): 1/10/2014
• Анализ цифровых подписей: 1/10/2014
• Добавить GUI

Ошибки

Не стесняйтесь отправлять ошибки/критику/похвалу/комментарии на patrickdw123(at)gmail(dot)com.