[Forensics Tools] pdfid

 

키워드를 통한 PDF 검사 (pdfid)

■ Package Description

특정 PDF 키워드를 찾기 위해 파일을 검색하여 

JavaScript 등이 포함 된 PDF 문서를 식별하거나 열 때 작업을 실행할 수 있습니다. 

프로그램이 복잡할 수록 보안에 취약할 수밖에 없는데, 이 프로그램은 간단하게 제작되어

사용하기 간편하고 무결성이 좋다.

[사용방법]

# pdfid -a english.pdf 

  

참조 사이트

http://blog.didierstevens.com/programs/pdf-tools/

 

■ OPTIONS

# pdfid -h

# pdfid -h Usage: pdfid [options] [pdf-file] Tool to test a PDF file Options:   --version     show program's version number and exit   -h, --help    show this help message and exit   -s, --scan    scan the given directory   -a, --all     display all the names   -e, --extra   display extra data, like dates   -f, --force   force the scan of the file, even without proper %PDF header   -d, --disarm  disable JavaScript and auto launch

 

[EX] 사용 예제

# pdfid /usr/share/doc/texmf/fonts/lm/lm-info.pdf PDFiD 0.0.12 /usr/share/doc/texmf/fonts/lm/lm-info.pdf  PDF Header: %PDF-1.4  obj                  526  endobj               526  stream               151  endstream            151  xref                   1  trailer                1  startxref              1  /Page                 26  /Encrypt               0  /ObjStm                0  /JS                    0  /JavaScript            0  /AA                    0  /OpenAction            0  /AcroForm              0  /JBIG2Decode           0  /RichMedia             0  /Launch                0  /EmbeddedFile          0  /Colors > 2^24         0

 

[실습] 

@Kali Linux

# pdfid  /root/바탕화면/test.pdf

root@kali:~# pdfid  /root/바탕화면/test.pdf PDFiD 0.2.1 /root/바탕화면/test.pdf  PDF Header: %PDF-1.6  obj                   6205  endobj              6203  stream              1870  endstream         1870  xref                      0  trailer                   0  startxref                1  /Page                   0  /Encrypt               0  /ObjStm               2  /JS                      0  /JavaScript           0  /AA                     0  /OpenAction         0  /AcroForm            0  /JBIG2Decode        0  /RichMedia           0  /Launch               0  /EmbeddedFile      0  /XFA                   0  /Colors > 2^24     0

[그림 1-1 정상적인 .pdf 와 악의적인 .pdf 차이]