首页
社区
课程
招聘
[原创]恶意PDF文档解析工具(完整源代码)
发表于: 2010-12-7 11:48 26950

[原创]恶意PDF文档解析工具(完整源代码)

2010-12-7 11:48
26950
工具:恶意PDF文档解析工具PDFTear v1.1
写者:Cryin'


这里貌似有点冷清,我来暖暖场呵呵。
此前,做好的恶意PDF文档解析工具附带了个Hex编辑器,感觉实在没什么意义。参见:http://bbs.pediy.com/showthread.php?t=125416  。这一次着重解析PDF文件的主要关键字段,并添加解压缩JavaScript功能。并去掉了Hex.将pdf解析信息放在主界面。凡事有始有终,一个小工具就算做成了!界面如下:



功能:

1、恶意PDF文档检测,检测思路http://hi.baidu.com/justear/blog/item/4a4fd2ec892820382df53402.html
2、JavaScript解压缩
3、简单异或工具
4、shellcode反汇编
5、PDF关键字段数量提取

意见或建议:

http://hi.baidu.com/justear

工具下载:

PDFTear.rar

http://dl.dbank.com/c04szfwuqi

源代码:

http://code.google.com/p/pdftear/

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 7
支持
分享
最新回复 (34)
雪    币: 445
活跃值: (52)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
2
哦,顶一个
不知能否分析加密的PDF文档
2010-12-7 11:59
0
雪    币: 622
活跃值: (65)
能力值: ( LV13,RANK:290 )
在线值:
发帖
回帖
粉丝
3
顶一下,如果能解压stream就完美了。
2010-12-7 12:07
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
4
压缩至文件其实也是可以的,但是存在个问题,,如果解压的stream比先前的长度长的话这个长度值不仅要修改。而且还要修改对应的obj在xref中的偏移地址。startxref的值也对应会改变,,所以问题比较多。这些问题都考虑到才能确保PDF文件不会被损坏哦
2010-12-7 12:33
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
5
不能。参考  
恶意PDF文件解析思路

就知道了
link:
http://hi.baidu.com/justear/blog/item/4a4fd2ec892820382df53402.html
2010-12-7 12:35
0
雪    币: 18
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
期待楼主开源,呵呵
2010-12-7 13:13
0
雪    币: 393
活跃值: (150)
能力值: (RANK:110 )
在线值:
发帖
回帖
粉丝
7
顶这个,同时,共享一个010 Editor(http://bbs.pediy.com/showthread.php?t=125754)的插件。这个能解析PDF 的。而且很直观,解密也行。
上传的附件:
2010-12-7 15:41
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
8
010 Editor我也用过,PDFTemplate.bt这个我也在这里分享过http://bbs.pediy.com/showthread.php?t=125500,不过做着个小工具之前确实没用过PDF Stream Dumper。。要是用过的话就真没必要写了。怎么着也没别人写的好啊
2010-12-7 16:12
0
雪    币: 18
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
我觉得楼主没必要妄自菲薄,为什么说自己没有别人做的好呢,敢于去做,而且做出来了,这就是最大的价值
2010-12-7 16:48
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
10
加密加密流对象呢,,并不加密PDF中的那些关键字段
2010-12-7 18:45
0
雪    币: 393
活跃值: (150)
能力值: (RANK:110 )
在线值:
发帖
回帖
粉丝
11
其实 PDF Dumper有一些bug的。呵呵,话说流的加密与解密貌似也可以在工具上做吧。
2010-12-7 22:07
0
雪    币: 393
活跃值: (150)
能力值: (RANK:110 )
在线值:
发帖
回帖
粉丝
12
最后,如果你想你的软件能火,还是希望你公开代码。
2010-12-7 22:07
0
雪    币: 2015
活跃值: (902)
能力值: ( LV12,RANK:1000 )
在线值:
发帖
回帖
粉丝
13
PDF的加密很简单吗?
2010-12-8 00:03
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
14
貌似不简单吧,我没研究过加密那部分
2010-12-8 09:12
0
雪    币: 445
活跃值: (52)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
15
流中有关键字段的~
2010-12-8 09:24
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
16
加密这块我到没细研究过,完了一定看看
2010-12-8 09:26
0
雪    币: 18
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
17
加密?是说的pdf文档加密还是指shellcode被编码压缩的部分?
2010-12-8 09:29
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
18
他们说的应该是pdf文件被加过密的。。shellcode编码解码那完全是在stream里面。对解析pdf文件的关键字段没什么影响吧
2010-12-8 09:33
0
雪    币: 18
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
19
如果不是做pdf阅读器的话,这部分内容应该是没有必要去解析的吧?
2010-12-8 09:50
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
20
嗯嗯....
2010-12-8 10:12
0
雪    币: 1491
活跃值: (975)
能力值: (RANK:860 )
在线值:
发帖
回帖
粉丝
21
共享下源码吧,呵呵,,你知道我的联系方式吧。。
2010-12-8 10:38
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
22
要不加QQ吧,以后多交流呵呵
2010-12-8 10:41
0
雪    币: 2015
活跃值: (902)
能力值: ( LV12,RANK:1000 )
在线值:
发帖
回帖
粉丝
23
我简单研究了一下,发在论坛上,希望对你有用。
2010-12-8 12:23
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
24
太谢谢了!!
2010-12-8 12:35
0
雪    币: 241
活跃值: (235)
能力值: ( LV13,RANK:240 )
在线值:
发帖
回帖
粉丝
25
上传代码了。写了很挫!!勿拍
2011-1-12 23:52
0
游客
登录 | 注册 方可回帖
返回
//