Sehen, was ein PDF von einem unbekannten Absender ausführen kann, es entfernen und die gespeicherte Kopie zurücklesen, um zu belegen, dass sie sauber ist.
PDF-Sanitizer
Sehen, was ein PDF von einem unbekannten Absender ausführen kann, es entfernen und die gespeicherte Kopie zurücklesen, um zu belegen, dass sie sauber ist.
Ein Dokument, dem Sie nicht vertrauen, wird in diesem Tab gelesen, gestrippt und erneut geprüft, nie von einem Leseprogramm geöffnet und nie irgendwohin gesendet. Skripte werden als Text untersucht und niemals ausgeführt.
Ein PDF ist so sehr kleines Programm wie Seite. Es kann ein Skript enthalten, das im Moment des Öffnens läuft, eine Aktion, die ein anderes Programm auf dem Rechner startet, eine Schaltfläche, die ein gefülltes Formular an eine Adresse nach Wahl des Autors sendet, ein ganzes ausführbares Programm als Anhang und eine XML-Formularebene mit eigenem Skripting. Jeder Ort, an dem eine Aktion sitzen kann, wird hier besucht — die Öffnen-Aktion, die Auslöser von Dokument, Seite, Anmerkung und Formularfeld, Lesezeichen, der Skriptbaum auf Dokumentebene — und Ketten werden bis zum Ende verfolgt, sodass ein harmloser erster Schritt mit einem dahinter wartenden Startbefehl trotzdem auffällt. Jeder Fund nennt, wo er wohnt, worauf er zeigt und ob er einen Klick braucht. Wählen Sie, was geht, und die neu geschriebene Kopie wird aus ihren eigenen Bytes zurückgelesen und erneut geprüft.
Funktionen
Zehn Kategorien, nach hoch, mittel und niedrig eingestuft, wobei hoch und mittel von Anfang an angekreuzt sind
Jeder Fund zeigt, wo er sitzt, worauf er zielt und ob er ohne Klick läuft
Aktionsketten werden durchverfolgt, sodass sich nichts hinter einem unschuldigen ersten Schritt versteckt
Eingebettete Dateien mit Programmnamen werden getrennt von gewöhnlichen Anhängen aufgeführt
Ein roher Schlüsselwortdurchlauf über die Bytes der Datei, der mit #xx-Escapes verschleierte Namen auflöst
Die bereinigte Kopie wird neu geladen und erneut geprüft und nur als sauber ausgewiesen, wenn nichts übrig ist
Mehrere PDFs auf einmal, einzeln oder gemeinsam als ZIP herunterzuladen
Warnungen dazu, was jede Entfernung ändert, etwa ein Formular, das nicht mehr rechnet
So verwendest du PDF-Sanitizer
Ein oder mehrere PDFs ablegen; jedes wird beim Eintreffen gelesen und geprüft
Die Funde durchgehen und bei Bedarf die rohen Schlüsselwortzahlen als zweite Meinung öffnen
Abkreuzen, was Sie behalten müssen — Weblinks und Metadaten starten unangekreuzt
Bereinigen, die erneute Prüfung lesen und die gereinigten Kopien herunterladen
Beispiel
Eingabe
invoice_urgent.pdf — unexpected, from a sender nobody recognises
Ausgabe
6 findings: 2 scripts that run on opening, 1 launch action, 1 attachment named invoice.pdf.exe, 1 web link, document information · after sanitizing, the re-scan is clean
Beide Skripte liefen im Moment des Öffnens, ohne dass etwas angeklickt wurde.
Häufige Fehler & Fehlerbehebung
Das Formular rechnet nach dem Bereinigen nicht mehr. — Seine Summen wurden per Skript berechnet, und die Skripte sind weg. Lassen Sie es erneut mit abgekreuztem JavaScript laufen, wenn Sie die Rechnerei wirklich brauchen — im Wissen, dass genau diese Kategorie am häufigsten einen Angriff trägt.
Ein verschlüsseltes PDF wurde geprüft, aber nie gereinigt. — Eine passwortgeschützte Datei kann nicht neu geschrieben werden, solange sie nicht geöffnet ist. Entfernen Sie das Passwort erst mit PDF entschlüsseln und bringen Sie das Ergebnis dann hierher zurück.
Die Schlüsselworttabelle nennt Namen, die die Funde nicht nennen. — Sie beantworten verschiedene Fragen. Der Schlüsselwortdurchlauf zählt Namen in den rohen Bytes, auch solche in Objekten, auf die nichts zeigt; die Funde sind nur das, was das Dokument tatsächlich erreicht.
Das Formular zeigt jetzt eine Seite „Bitte warten…“ und sonst nichts. — Das gesamte Formular steckte in der XFA-Ebene, und die gewöhnlichen Seiten waren nur dieser Platzhalter. Behalten Sie die XFA-Ebene, wenn Sie das Formular ausfüllen müssen — und seien Sie vorsichtig damit, denn sie trägt ebenfalls Skripting.
Häufig gestellte Fragen
Was gilt in einem PDF als aktiver Inhalt?
Alles, was etwas tut statt etwas zu zeigen: Skripte, Auslöser beim Öffnen, Schließen, Speichern oder Drucken, Aktionen, die ein Programm starten oder ein Formular absenden, Links, die eine andere Datei öffnen, eingebettete Dateien, eine XFA-Formularebene sowie Rich Media und 3D-Objekte.
Kann ein PDF wirklich etwas ausführen, sobald ich es öffne?
Versuchen kann es das. Eine Öffnen-Aktion und die Auslöser von Dokument und Seite feuern ohne jeden Klick, und genau deshalb werden sie hier getrennt gezählt. Ob ein Leseprogramm gehorcht, hängt von seinen Einstellungen ab, aber die Anweisung steht so oder so in der Datei.
Zerstört das Entfernen von JavaScript das Formular im Dokument?
Das kann es. Skripte sind es, die Summen berechnen, Datums- und Zahlenformate setzen und prüfen, was Sie getippt haben, all das hört also auf. Die Felder selbst und alles bereits Ausgefüllte bleiben unangetastet, und dieser Abtausch wird benannt, bevor Sie sich entscheiden.
Woran erkenne ich, dass die gereinigte Kopie wirklich sauber ist?
Weil sie nicht auf Vertrauen beruht. Die neu geschriebenen Bytes werden als frisches Dokument erneut geladen und von Grund auf geprüft, und nur eine Datei, deren zweite Prüfung nichts findet, wird als sauber ausgewiesen. Die Zahlen, die Sie sehen, sind diese zweite Lesung.
Warum wird ein Anhang mit der Endung .exe anders behandelt als andere Anhänge?
Weil sein Öffnen Code ausführt, was keine Tabelle und kein Bild tut. Alles, was auf eine ausführbare Endung endet — .exe, .js, .bat, .ps1, .vbs und ein paar Dutzend mehr —, wird als hoch statt mittel eingestuft und für sich aufgeführt.
Ändert das Bereinigen, wie die Seiten aussehen?
Nein. Seiteninhalt wird nicht angetastet, Text, Grafik und Layout kommen also unverändert durch. Was verschwindet, ist Verhalten: Multimedia-Player und Links, denen nichts zu tun bleibt, fallen weg, und Metadaten gehen nur, wenn Sie es verlangen.