PDF中的Javascript利用

阅读： 16,856

Pdf文件是应用广泛的一种文件格式，发展至今已经到了2.0版本，其功能也得到了不断丰富，很多鲜为人知的功能可能会被利用实施恶意行为。本文将简单介绍在pdf文件中嵌入Javasript脚本的利用方式。

一、PDF中的Javascript利用

pdf是portable document format的缩写，是目前广泛应用于各种场合的文件格式，其是由Adobe公司根据Postscript语言修改后提出的文件标准，并且被ISO组织接受，目前已经发展到2.0版本（ISO32000-2）。目前广泛使用的是1.7版本，该版本pdf功能已经相当丰富，可以显示3D模型，播放多媒体音视频，执行Javascript脚本等功能。

很多针对Adobe阅读器的CVE漏洞都是通过pdf文件中的某些结构触发，触发过程都需要执行事先嵌入在pdf文件中的Javascript脚本。例如CVE-2017-11254 Adobe Acrobat 和Reader中addAnnot Use After Free漏洞，就是通过调用Javascript代码调用addAnnot函数从而触发漏洞；以及CVE-2018-4901 针对pdf中Trailer结构里的ID字段的溢出漏洞，也是需要在文件中通过Javascript调用docID来进行触发。

在pdf文件中的Javascript内容是一个很有用且用途比较广泛的攻击手段。

然而在pdf的Javascript函数引用规范中，对于pdf中可以引用的函数进行了很严格的限制，可以进行的操作比较有限。

通过研究发现，目前针对该攻击面的攻击主要分为以下三种方式：

通过Javascript调用pdf中的模块进行攻击；
通过Javascript调用阅读器中提供的Javascript相关功能，进行攻击；
其他未知形式的攻击。

二、pdf中的Javascript规范

在pdf中插入Javascript的相关介绍主要在Javascript_api_reference.pdf中进行介绍。文档在函数介绍时，会通过四元组对函数进行说明：

其中第一列说明该方法的启用版本以及是否还在使用、第二列说明该方法引起的变化是否会影响文件、第三列表明该方法执行需要特殊设置、第四列表明该方法的可用性。

Pdf中的Javascript按照影响范围分为以下几种：文件夹级脚本、文档级脚本、页面级脚本、域级脚本以及批处理级脚本。所有类型的脚本都是事件驱动的，即当发生相应事件时，才会响应执行。

1、文件夹级脚本

包含可以影响Acrobat的变量声明和函数定义，一般用于增加菜单或者菜单项等针对Acrobat有影响的函数，包括两种：app和user。

此类脚本一般是放到相应文件夹中，一般在Acrobat启动时载入，一般与event实体的应用初始化事件联系。

2、文档级脚本

包含可以影响给定文件的变量声明和函数定义，在文件之外不能应用。可以通过Acrobat创建该级别脚本嵌入pdf文件中。除该类型脚本外，还有文档级动作脚本，其触发动作包括：文件关闭前，文件保存前，文件保存后，文件打印前和文件打印后。

3、页面级脚本

该类型脚本在一页打开或关闭时执行。打开事件为当一个页面完成绘制或任何时候查看一个新页的时候。关闭事件为当用户查看的页面不再是当前页时。

4、域级脚本

域级脚本与Acrobat中的表格域绑定，当用户与相应区域直接或间接交互时，即触发相应的域事件，该级别脚步存放在pdf文件中。

三、潜在可利用内容

在pdf阅读器支持的所有Javascript函数中以下函数在实际应用中，还是可以对用户的使用造成一些困扰：

app.launchURL()、app.media.getURLdata()、app.alert()、app.execDialog()、doc.getURL。

1、app.launchURL()函数功能为访问远程url。

该函数的四元组如下：

该函数包含两个参数，为cURL（用于指定文件的路径）和bNewFrame（用于指定是否用新建页面显示文件）。

当打开包含该函数的pdf文件时，首先会弹出窗口提醒用户建立远程链接，随后使用默认浏览器打开一个远程连接。

2、app.media.getURLdata()函数功能为打开url指定的多媒体文件。

四元组如下：

该函数包含两个参数，cURL（用于指定文件的路径）和cMimeType（可选，用于指定文件MIME类型）。

当打开包含该函数的pdf文件时，首先会弹出窗口提醒用户建立远程链接，随后根据版本和应用不同可能会有安全提示，随后需要用户手动选择信任，最终使用系统默认的播放器播放URL指定的文件。

3、app.alert()函数功能为弹出一个警示对话框。

该函数四元组如下：

该函数包含多个参数分别为：cMsg（用于指定对话框的内容）、nIcon（可选，用于指定对话框图标）、nType（可选，用于指定按钮的类型）、cTitle（可选，用于指定对话框标题）、oDoc（可选，指定与警告相关的Doc结构）、oCheckbox（可选，在对话框中放一个checkbox并且可以指定相关内容、初始值以及结束值）

当打开包含该函数的pdf文件时，将会弹出相应对话框，但是在标题处会有提示：“警告：JavaScript Window”字样如下：

4、app.execDialog()函数的功能为创建一个对话框。

其四元组如下：

该函数可以通过设定相关参数实现高度定制化对话框，如下所示：

但是在对话框中包括“Javascript Window”标题，和红色的警告文本。

5、doc.getURL函数功能为通过GET方法获取URL指向文件。

其四元组如下：

该函数包含两个参数，分别为cURL（目标文件的地址）和bAppend（如果为true，将运行结果附加到当前文件；当文件在浏览器中运行时，推荐使用false）。当该函数运行后，仍然会有安全性提示，如下：

然而该函数还有另外一个功能是可以运行本地文件，同时为了防止执行任意文件，还在注册表项中\LOCAL_MACHINE\SOFTWARE\Policies\Adobe\Acrobat Reader\11.0\FeatureLockDown\cDefaultLaunchAttachmentPerms进行了限制。当用户尝试执行文件不在限制范围内时，还会调用系统函数SaferiIsExecutableFileType判断是否为可执行文件，同时不受两方面限制后将会出现以下两个弹窗进行提示：