PDF malware

1.PDF文件完全可视的结构

< Towards Adversarial Malware Detection : Lessons Learned from PDF-based Attacks>
1.内容储存的一般结构
Header // 由%引入，单文本包含PDF版本信息
Body

//一系列的对象，定义了文件执行操作，还可以包含压缩的，未压缩的嵌入式数据，每个对象都有一个唯一的参考号，通常由序列号0 obj1，number为正确的对象号，每个对象以endobj结束。
第一个数 : 对象数
第二个数：编辑次数
《》：内部是对象的内容
Cross-Reference(X-Ref) Table

// 偏移量列表，指示文件中每个对象的位置，这样就提供了精确位置指示，交叉引用表由标记xref引入，其后是数字序列，其最后一个指示文件中对象的总数。
0 8：对象是从0开始对象8结束
0000000000 65535f: 0000000000 是起始地址 65535是生产号，也是最大生产号不可修改，f是free
后续 000000009 为第一个对象的地址 00000是生产号， 0未编辑过。 n代表类型可编辑
Trailer

//尾Trailer 开始
size 8 ：代表对象数有8个
root 1 0 R ：代表根对象的对象号为1
553：为Cross reference table 的偏移地址，可以在里面找到所有的对象的相对地址，进而访问。
PDF恶意软件的运行方式
JavaScript和/ JS用于执行JavaScript代码
/ Names，/ OpenAction，/ AA用于执行自动操作
/ EmbeddedFile和/ F用于打开嵌入式文件
/ AcroForm执行表单
相关的漏洞

Javascript-based Attacks被分为以下四种攻击
1.API-based overflow
通常利用错误的参数解析来分析属于PDF解析库的特定API调用，使攻击者能够执行缓冲区溢出或基于ROP（return-oriented programming）的攻击,一种利用代码复用作为手段的攻击。
2.Use-After-Free
基于使用之前已释放（但未重新初始化）的内存区域，通常会使程序崩溃，但是，可能允许易受攻击的程序中执行任意代码。
3.Malformed Data
在运行解压缩时压缩格式错误的数据触法，此类型数据通常储存在流中。
4.Type confusion
可能会影响void指针作为参数接受的函数，通常检查指向对象的某些字节来推断指针类型。但可以操作这些字节使得无效指针类型也可以识别为有效，从而允许执行任意代码。
Actionscript-based Attacks被分为三种攻击
通过Adobe Reader对Adobe Flash技术的支持使得Flash内容可视化，利用Reader的一种方法是通过嵌入恶意的ShockWave Flash（SWF）文件和ActionScript 代码来触发其Flash组件的漏洞。通常，此代码与javascript结合使用。
1.memory Corruption
当内存中特殊指针指向其他被攻击者控制的内存区域时被某种方式损坏，可能会发生此漏洞。
2.ByteCode Verification
此漏洞使攻击者可以在未初始化的内存区域执行代码
3.Corrupted File Loading
解析特定的，损坏的视频文件时触发漏洞
Flash马上被弃用，且需两部分运行才可以触发1.actionscript 2.javascript。
File Embedding

PDF malware相关推荐

对深度学习的逃逸攻击 — 探究人工智能系统中的安全盲区
ISC 2017中国互联网安全大会举办了人工智能安全论坛. 我们把论坛总结成为一系列文章,本文为系列中的第二篇. 作者: 肖奇学1, 许伟林2, 李康1 (1. 来自 360 Team Seri0u ...
BlueTeam 应急
应急免责声明本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. 应急离不开调查取证,请配合取证使用大纲威胁情报情报中心样本分析检测恶 ...
malware analysis、Sandbox Principles、Design Implementation
catalog 0. 引言 1. sandbox introduction 2. Sandboxie 3. seccomp(short for secure computing mode): API级 ...
感染神经网络模型的病毒 AI malware EvilModel: Hiding Malware Inside of Neural Network Models
感染神经网络模型的病毒 EvilModel: Hiding Malware Inside of Neural Network Models code https://arxiv.org/pdf/210 ...
论文阅读笔记-You Are What You Do: Hunting Stealthy Malware via Data Provenance Analysis
NDSS You Are What You Do: Hunting Stealthy Malware via Data Provenance Analysis 链接:https://www.ndss- ...
对抗机器学习：Generating Adversarial Malware Examples for Black-box Attacks Based on GAN
论文url https://arxiv.org/pdf/1702.05983.pdf @article{hu2017generating, title={Generating adversarial ...
论文 MalwareTextDB:A Database for Annotated Malware Articles 解读
论文 MalwareTextDB:A Database for Annotated Malware Articles 解读文章目录论文 MalwareTextDB:A Database for A ...
【2016阿里安全峰会】风声与暗算，无中又生有：威胁情报应用的那些事儿【附PDF下载】...
一年一度的阿里安全峰会创立于 2014 年,每年在7月举办,今年已是第三届,今年于7月13-14日在北京国家会议中心举办.阿里安全峰会旨在促进亚太区信息安全行业发展,为本地区信息安全组织.信息安全专业 ...
[计算机专业英文术语]Malware Payload, 正确的中文名应该是什么?
[简介] 常用网名: 猪头三出生日期: 1981.XX.XX 个人网站: http://www.x86asm.org QQ交流: 643439947 编程生涯: 2001年~至今[共16年] 职业生 ...

PDF malware

1.PDF文件完全可视的结构

PDF malware相关推荐

最新文章

热门文章