|
En यह उत्कृष्ट पोस्ट आज में बाहर आया अनुवर्ती जानकारीपीडीएफ की अंतिम और सबसे खतरनाक कमजोरियों में से एक की सूचना दी गई है, जो पुष्टि करता है कि हमने क्या उठाया है कल हमारी पोस्ट। मैं कहानी के नैतिक को आगे बढ़ाता हूं: बेहतर डीजेवीयू मुक्त प्रारूप का उपयोग करें; यह अधिक सुरक्षित है और छोटे, बेहतर-गुणवत्ता वाली फ़ाइलें बनाता है ... यह एडोब जैसे "विशाल" द्वारा समर्थित नहीं है। |
इन दिनों यह दुनिया भर में चल रहा है डीडियर स्टीवंस ने बायनेरिज़ को पीडीएफ दस्तावेज़ से निष्पादित करने के लिए जो काम किया है। तकनीक, अगर इसका उपयोग किया जा रहा है एडोब एक्रोबेट रीडरएक संदेश दिखाता है, जो कि, जैसा कि वह खुद कहता है, आंशिक रूप से संशोधित हो सकता है। में Foxitइसके विपरीत, कोई भी संदेश प्रदर्शित नहीं होता है और बिना किसी अलर्ट के कमांड निष्पादित होते हैं।
यह तकनीक सरल, सीधी है, और इसलिए बहुत खतरनाक है, अगर हम इस बात को ध्यान में रखते हैं कि पीडीएफ प्रारूप पिछले साल शोषकों का पसंदीदा था, जो शोषण के उच्च स्तर तक पहुंच गया था।
इसे देखकर, मुझे याद आया है कि कई इंटरनेट लेखों में, जब वे पीडीएफ में कमजोरियों का फायदा उठाने के बारे में बात करते हैं, तो वे ऐसी बातें कहते हैं "उदाहरण के लिए, FOCA के साथ उपयोग किए जाने वाले एक्रोबेट के संस्करण का पता लगाएँ" और फिर शोषण का निर्माण। बेचारा FOCA उन बैंगन में फंस गया ...
ऐसा ही कुछ हम सुरक्षा दिवस के लिए तैयार किया गया डेमो था, जिसमें हमने कमजोर कंप्यूटर पर रिमोट शेल प्राप्त करने के लिए एक्रोबैट रीडर (संस्करण 9 सहित) में भेद्यता का फायदा उठाया था। शोषित भेद्यता को टाइप किया गया है CVE-2009-0927 और इसका संचालन किसी भी कमांड को निष्पादित करने की अनुमति देता है। यदि सॉफ़्टवेयर असुरक्षित है, तो आपको निम्न छवि में देखा गया एक संदेश मिलेगा:
और शोषण जो हम शेल को एक आईपी पर पुनर्निर्देशित करते हैं और एक पोर्ट जिस पर हमने सुनने के लिए नेटकैट सेट किया है।
बेशक, शोषित मशीन में, एक्रोबैट रीडर प्रक्रिया चल रही है, शेल कमांड में भाग ले रही है।
पीडीएफ के कारनामों के खतरे को देखते हुए, मैंने इसे वायरसटोटल पर अपलोड करने का फैसला किया, यह देखने के लिए कि एंटीवायरस इंजन पीडीएफ दस्तावेजों में इन कारनामों के साथ कैसे व्यवहार करते हैं। यदि हम ईमेल मैनेजर या डॉक्यूमेंट रिपॉजिटरी में उपयोग किए जाने वाले इंजन के बारे में बात कर रहे हैं, तो यह विशेष रूप से महत्वपूर्ण है, क्योंकि यह उन प्रदेशों में है जहाँ अधिक पीडीएफ दस्तावेज़ चलते हैं। परिणाम, इस विशेष शोषण के साथ, बुरा नहीं था, लेकिन यह आश्चर्य की बात थी कि अभी भी इंजनों की एक अच्छी संख्या थी जो इसका पता नहीं लगाते थे, लेकिन प्रतिशत 50% तक नहीं पहुंचे और उनमें से कुछ, जैसा कि कैस्परस्की के रूप में हड़ताली थे, मैकेफी या फोर्टिनेट।
एक जिज्ञासा के रूप में, यह मेरे प्रिय के समान, निष्पादनयोग्य उत्पन्न करने के लिए फ़ाइल पैकर का उपयोग करने के लिए हुआ रेडबाइंडर थोर की, लेकिन कम कार्यात्मकता के साथ कहा जाता है जीजी और वहाँ था साइबरहेड्स में देखा, यह देखने के लिए कि जब हमने exe एक्सटेंशन के साथ एक पैकेज के अंदर pdf शोषण किया, तो एंटीमैलेवर इंजन ने क्या किया।
यह नया निष्पादन योग्य, जब चलाया जाता है, तो पीडीएफ शोषण के साथ दस्तावेज़ लॉन्च करता है। मेरे दिमाग को पार करने वाले विकल्प थे: ए) वे इसे खोलते हैं और इससे पहले कि लोग इसे खोजते हैं और बी) वे सीधे पता लगाने के लिए कि अंदर क्या है और पैकर पर हस्ताक्षर करते हैं। हालांकि, परिणाम आश्चर्यजनक था।
2 में से केवल 42 ने इसका पता लगाया, 1 संदिग्ध के रूप में और केवल वायरसबस्टर प्रारूप को जानता था, और इसे स्कैन करने के लिए सामग्री को अनपैक करने के लिए परेशानी उठाता था।
इसे देखने के बाद, यह मुझे बहुत सही लगता है कि Microsoft और Adobe Windows अद्यतन के माध्यम से सॉफ़्टवेयर अद्यतन करने पर विचार कर रहे हैं और Microsoft ने Windows अद्यतन एजेंट जैसे अन्य समाधानों को एकीकृत करने के लिए अपना Windows अद्यतन सेवा प्लेटफ़ॉर्म खोला है सिकुनिया सीएसआई, जो सिस्टम सेंटर कॉन्फ़िगरेशन मैनेजर और WSUS के साथ काम करता है।
मेरी बात बेहतर ढंग से सुनो डीजेवीयू मुक्त प्रारूप का उपयोग करें- अधिक सुरक्षित है और छोटे, बेहतर गुणवत्ता वाली फाइलें बनाता है।
Fuente: अनुवर्ती जानकारी
एक स्पष्टीकरण: पीडीएफ भी एक मुफ्त प्रारूप है।
और यह देखना आवश्यक होगा कि यह किसकी गलती है, यदि प्रारूप (पीडीएफ) या प्रोग्राम (एक्रोबैट रीडर, फॉक्सिट आदि) क्योंकि प्रारूप बहुत अच्छा हो सकता है, लेकिन जो प्रोग्राम निष्पादित करता है वह बहुत बुरा है, और वह क्या इसका यह अर्थ नहीं है कि ऐसे कोई अच्छे कार्यक्रम नहीं हैं जो उनके साथ नहीं होते (सभी एक्रोबेट या फॉक्सिट का उपयोग करते हैं, लेकिन लिनक्स में हमारे पास कई और विकल्प हैं, क्या ये कमजोर होंगे?)
मैंने कभी djvu की कोशिश नहीं की, अब मैं यह देखने के लिए थोड़ा सा देखता हूं कि यह क्या है, और इसमें एक छोटी सी बात है कि मुझे इस छोटे समय में यह पसंद नहीं है कि मैं इसे देखता हूं, आप पाठ की प्रतिलिपि नहीं बना सकते, क्योंकि सब कुछ है एक छवि। मुझे यह पसंद नहीं है, मैं आमतौर पर मेरे द्वारा पढ़े जाने वाले पीडीएफ़ से चीजों को कॉपी करता हूं।
मुझे नहीं पता कि क्या मैं इसका भरपूर उपयोग करूंगा, मुझे लगता है कि मैं पीडीएफ प्रारूप में सुधार करना पसंद करता हूं, जो कि वेक्टर है।
का संबंध है
प्रिय मार्कोस, आपकी टिप्पणियाँ हाजिर हैं। पीडीएफ एक मालिकाना प्रारूप था, लेकिन 1 जुलाई, 2008 से यह एक खुला प्रारूप है।
वैसे भी, यह सच है कि आप क्या कहते हैं कि कभी-कभी ग्राहकों / पाठकों के पास बहुत कुछ होता है। एक स्पष्ट उदाहरण वह मामला है जो इस पोस्ट में बताया गया है।
और हां, मुझे .djvu के टेक्स्ट को कॉपी करना पसंद नहीं है। 🙁 हालाँकि, अंग्रेज़ी विकिपीडिया पृष्ठ पर यह कहा गया है कि: «इस प्रकार, दिए गए फ़ॉन्ट में कई बार एक अक्षर« ई »को संपीड़ित करने के बजाय, यह अक्षर« ई »को एक बार संपीड़ित करता है (एक संकुचित बिट छवि के रूप में) और फिर रिकॉर्ड करता है पृष्ठ पर हर जगह यह होता है।
वैकल्पिक रूप से, इन आकृतियों को ASCII कोड (या तो हाथ से या संभावित रूप से एक पाठ पहचान प्रणाली द्वारा) में मैप किया जा सकता है, और DjVu फ़ाइल में संग्रहीत किया जा सकता है। यदि यह मानचित्रण मौजूद है, तो पाठ का चयन करना और उसकी प्रतिलिपि बनाना संभव है। ' जिसका अर्थ है कि आप djvus में पाठ का चयन कर सकते हैं।