压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

現(xiàn)在還真有可能了。在特定條件下，攻擊者可以運(yùn)用新型攻擊技術(shù)訪問加密 PDF 文件的全部內(nèi)容。

該方法名為 PDFex ，所用技術(shù)中包含兩類攻擊方法，利用了 PDF 內(nèi)置標(biāo)準(zhǔn)加密保護(hù)中的安全漏洞。

需要指出的是，PDFex 攻擊并不能使攻擊者獲知或去除加密 PDF 的密碼，而是在合法用戶打開該文檔時(shí)可使攻擊者遠(yuǎn)程滲漏其中內(nèi)容。

換句話說，PDFex 使攻擊者可在不知道相應(yīng)密碼的情況下修改受保護(hù) PDF 文檔，方法就是當(dāng)持有正確密碼的用戶打開文檔時(shí)，文件自動向互聯(lián)網(wǎng)上遠(yuǎn)程攻擊者控制下的服務(wù)器發(fā)送文檔解密內(nèi)容副本。

研究人員針對 27 種廣泛使用的 PDF 閱讀器做了 PDFex 攻擊測試，無論是桌面閱讀器還是基于 Web 瀏覽器的 PDF 閱讀器，兩種攻擊方式中總有一種能攻破，而且絕大部分閱讀器兩種攻擊方法都適用。

受影響 PDF 閱讀器涵蓋了適用于 Windows、macOS 和 Linux 桌面操作系統(tǒng)的流行軟件，比如：

• Adobe Acrobat
• 福昕閱讀器
• Okular
• Evince
• Nitro Reader

以及 Web 瀏覽器內(nèi)置 PDF 閱讀器：

• Chrome
• Firefox
• Safari
• Opera

PDFex 攻擊利用兩個(gè) PDF 漏洞

PDFex 由德國安全研究團(tuán)隊(duì)發(fā)現(xiàn)，利用 PDF 加密中的兩個(gè)主要漏洞：

1. 部分加密

標(biāo)準(zhǔn) PDF 規(guī)范從設(shè)計(jì)上支持部分加密，允許僅加密字符串和流，而定義 PDF 文檔結(jié)構(gòu)的對象則保留未加密狀態(tài)。

因此，對密文和明文混雜的支持就給攻擊者留下了操縱文檔結(jié)構(gòu)并注入惡意載荷的機(jī)會。

2. 密文可塑性

PDF 加密采用密碼塊鏈接 (CBC) 加密模式，沒有完整性檢查，可被攻擊者利用來創(chuàng)建自滲出密文塊。

PDFex 攻擊類型：直接滲漏和 CBC 小工具

下面我們簡要闡述這兩類 PDFex 攻擊。

類型 1：直接滲漏：利用受保護(hù) PDF 文件的部分加密功能。

盡管不觸及待滲漏內(nèi)容，攻擊者可向目標(biāo)加密 PDF 中添加額外的未加密對象，用于定義合法用戶成功打開 PDF 文件時(shí)觸發(fā)的惡意動作。

如下面列出的，這些動作定義了遠(yuǎn)程攻擊者可以滲漏文檔內(nèi)容的方法：

• 提交表單
• 調(diào)用 URL
• 執(zhí)行 JavaScript

研究人員在論文中寫道：該惡意動作將加密部分引用為包含在請求中的內(nèi)容，這樣就能滲出其明文發(fā)至任意 URL 了。動作的執(zhí)行可在 PDF 文件被打開（解密后）時(shí)自動觸發(fā)，也可以通過用戶互動觸發(fā)，比如點(diǎn)擊文檔內(nèi)的對象。

類型 2：CBC 小工具：不是所有 PDF 閱讀器都支持部分加密文檔，但其中很多都沒有文件完整性保護(hù)，也就讓攻擊者得以直接修改加密對象中的明文數(shù)據(jù)。

基于 CBC 小工具的攻擊場景與直接滲漏攻擊類似，惟一的區(qū)別是攻擊者用 CBC 小工具修改已有加密內(nèi)容，或創(chuàng)建新內(nèi)容，以便添加定義數(shù)據(jù)滲漏方法的動作。

除此之外，如果 PDF 包含壓縮流以削減文件大小，攻擊者需用半開放對象流來盜取數(shù)據(jù)。

PDFex 攻擊漏洞利用概念驗(yàn)證發(fā)布

研究團(tuán)隊(duì)由來自德國波鴻魯爾大學(xué)和明斯特大學(xué)的六名學(xué)術(shù)界人士組成，已向所有受影響供應(yīng)商報(bào)告了他們的發(fā)現(xiàn)，并公開發(fā)布了 PDFex 攻擊的漏洞利用概念驗(yàn)證。

該團(tuán)隊(duì)早前的其他研究包括 2018 年 5 月披露的 eFail 攻擊，影響十多種常用 PGP 加密電子郵件客戶端。

研究團(tuán)隊(duì)在專屬網(wǎng)站上發(fā)布了題為《實(shí)用解密 exFiltration：破解 PDF 加密》的研究論文，可訪問該網(wǎng)站以獲取更詳細(xì)的技術(shù)細(xì)節(jié)。

評估：

https://pdf-insecurity.org/encryption/evaluation_2019.html

概念驗(yàn)證：

https://pdf-insecurity.org/download/exploits-encryption/exploits.tgz

PDF 安全網(wǎng)站：

https://pdf-insecurity.org/encryption/encryption.html

PDFex 攻擊論文：

https://www.pdf-insecurity.org/download/paper-pdf_encryption-ccs2019.pdf