鑑識分析挑戰 6:分析惡意編碼 PDF 檔案

鑑識分析挑戰 6:分析惡意編碼 PDF 檔案 - (由來自馬來西亞團隊的Mahmud Ab Rahman和Ahmad Azizan Idris提供) 利用含惡意編碼 PDF檔案進行的典型攻擊。

請在2010年11月30日星期二之前在 http://www.honeynet.org/challenge2010/ 透過我們的表格 (請使用 MS word解答範本 Open Office解答範本) 提交您的挑戰解答。結果約在12月的第三個星期公佈。)

難度等級:中級
歡迎透過下列鏈結訪問:英文版內容
挑戰內容:
PDF 格式是在線文件交換的業界標準 (de facto standard)。由於它的普及性,因此亦吸引了罪犯利用它來向信任的使用者傳播惡意程式。在很多攻擊工具中已經包含了建立惡意編碼 PDF檔案的功能來散播惡意程式。如果使用者對開啟 PDF 檔案缺乏警覺性,惡意編碼 PDF檔案會是一個頗成功的攻擊手段。
在網路封包記錄 lala.pcap 內藏有關於一個典型的惡意編碼 PDF檔案。這個封包記錄了一個使用者開啟了一個已被入侵的網頁,然後被重新轉向去下載一個惡意編碼 PDF檔案。當瀏覽器內的PDF插件開啟PDF時,沒有安裝修補程式的Adobe Acrobat Reader會被攻擊,結果在使用者的電腦上無聲無色地下載並安裝惡意程式。

  1. 在這次事故中包含了多少個 URL 路徑?請列出找到的URL 路徑。(1分)
  2. 在PCAP檔案內,你能找到什麼程式碼?請解釋這些程式碼做了什麼。 (2分)
  3. 在PCAP檔案內,你能找到什麼檔案嗎?若找到任何檔案,請利用zip密碼保護(密碼:infected)的壓縮檔案方式,將檔案命名為:[your email]_Forensic Challenge 2010 – Challenge 6 – Extracted Files.zip並提交到http://www.honeynet.org/challenge2010/
  4. 在PDF檔案內包含多少個物件?(1分)
  5. 請利用PDF 字典及物件參考詳細解釋PDF檔案的流程結構。(1分)
  6. 有多少個過濾機制應用在物件串流,它們是什麼?請解釋你如何將串流解壓。
  7. 哪個物件串流可能藏有惡意編碼內容?請列出該物件及解釋所使用的隱匿技術 (obfuscation technique(s))。(3分)
  8. 在PDF檔案內包含了什麼攻擊?哪一個攻擊能成功執行並觸發漏洞?請在答案上提供一些相應的解釋。 (4分)
  9. 在PDF檔案內包含了什麼負載 (payloads)?如果有,請列出及解釋它們做了什麼,那些負載(payload)會被執行?(2分)
  10. 對於PDF 格式結構的理解,請解釋在開啟 PDF 檔案時,我們能如何啟動其他攻擊 (2分)

獎勵分:

  1. 請提供PDF 文件內PDF物件連結的 dot graph (1分)
  2. 請提供一個在 PDF檔案內提取JavaScript程式碼並進行分析的自動方案。請拿出你的創意!(描述你的方案,然後將源始碼和執行檔利用zip壓縮檔案方式命名為:[your email]_Forensic Challenge 2010 – Challenge 6 –Bonus2.zip並提交到http://www.honeynet.org/challenge2010/。 (1分)

下載:
lala.pcap Sha1: 77183f064996b18276fd44dfcc3048bbb8216da2
[your email]_Forensic Challenge 2010 - Challenge 6 - Submission Template - Traditional Chinese.doc Sha1: F6EA583DA1687874D184C632F75C4249A644ECFA

[your email]_Forensic Challenge 2010 - Challenge 6 - Submission Template - Traditional Chinese.odt Sha1: 2039799E7F304D029EC0F7276A328C23ADE1619F

AttachmentSize
[your email]_Forensic Challenge 2010 - Challenge 6 - Submission Template - Traditional Chinese.doc93 KB
[your email]_Forensic Challenge 2010 - Challenge 6 - Submission Template - Traditional Chinese.odt25.81 KB