如何防范PDF内嵌XSS攻击？

Question

如何防范PDF内嵌XSS攻击？一个常见问题是：当用户上传包含恶意JavaScript脚本的PDF文件时，某些PDF阅读器（尤其是基于浏览器的渲染器）可能执行其中的脚本，导致跨站脚本（XSS）攻击。例如，攻击者可利用PDF中的`/JS`或`/JavaScript`动作对象注入代码，在用户打开文件时窃取Cookie或执行非法操作。该如何识别并清除PDF中的此类恶意行为？在服务端处理上传文件时，应采用哪些技术手段（如静态分析、使用PDF净化工具、禁用JavaScript执行等）来有效防御此类攻击？

Answer 1

防范PDF内嵌XSS攻击的深度解析与实践方案

1. 问题背景与攻击原理剖析

PDF（Portable Document Format）文件因其跨平台兼容性，广泛用于文档共享和在线预览。然而，PDF规范支持嵌入JavaScript脚本（通过/JS、/JavaScript动作对象或Rich Media注释），这为恶意行为提供了可乘之机。

攻击者可构造包含以下结构的PDF：

/AA <<
  /O << /S /JavaScript /JS (app.alert(document.cookie);) >>
>>
    

当用户使用支持JavaScript执行的PDF阅读器（如Adobe Acrobat、某些浏览器内置PDF渲染器）打开该文件时，脚本将自动运行，导致Cookie泄露、重定向至钓鱼页面等后果。

尤其在Web应用中允许用户上传PDF并提供在线预览功能时，若未做充分净化，极易形成“存储型PDF-XSS”漏洞。

2. 防御策略层级模型

构建纵深防御体系是应对PDF-XSS的核心思想。以下是分层防御框架：

1. 输入验证层：限制文件类型、大小、MIME类型校验
2. 静态分析层：解析PDF结构，识别可疑对象
3. 内容净化层：移除或禁用JavaScript相关字段
4. 执行环境隔离层：沙箱化预览、禁用客户端脚本
5. 监控响应层：日志审计、异常行为检测

3. 静态分析技术详解

通过对PDF语法结构进行解析，识别潜在恶意元素。关键点包括：

• 搜索/JavaScript、/JS、/OpenAction、/AA（附加动作）等关键词
• 检查是否存在Launch、SubmitForm等危险动作
• 分析对象流中的Stream内容是否包含Base64编码的脚本

示例Python代码片段（使用PyPDF2初步检测）：

import PyPDF2

def scan_pdf_for_js(pdf_path):
    with open(pdf_path, 'rb') as f:
        reader = PyPDF2.PdfReader(f)
        for page in reader.pages:
            if '/JS' in str(page) or '/JavaScript' in str(page):
                return True
        # 检查文档级动作
        if '/OpenAction' in reader.trailer['/Root']:
            action = reader.trailer['/Root']['/OpenAction']
            if '/S' in action and action['/S'] == '/JavaScript':
                return True
    return False
    

4. PDF净化工具与服务端处理流程

推荐采用成熟的PDF处理库实现自动化净化。常见工具对比：

工具	语言	支持JS清除	开源	性能
QPDF	C++	✅（线性化时剥离）	✅	高
PDFtk	Java/C++	❌	✅	中
Apache PDFBox	Java	✅（编程控制）	✅	中
Ghostscript	C	✅（通过参数）	✅	高

5. 使用Ghostscript实现PDF净化

Ghostscript是工业级PDF处理器，可通过命令行剥离脚本和交互元素：

gs -o cleaned.pdf \
   -dSAFER \
   -dNOPAUSE \
   -dBATCH \
   -sDEVICE=pdfwrite \
   -dAutoRotatePages=/None \
   -dDetectDuplicateImages \
   -dCompressFonts=true \
   -dPDFSETTINGS=/default \
   input_with_js.pdf
    

参数说明：-dSAFER禁用文件系统访问，pdfwrite设备会忽略JavaScript、表单提交等动态内容。

6. 基于PDF.js的安全预览策略

在前端使用Mozilla PDF.js渲染PDF时，应确保：

• 禁用enableScripting选项（默认已关闭）
• 在CSP策略中限制unsafe-eval
• 预览前在服务端完成净化，不依赖客户端防护

PDF.js配置示例：

pdfjsLib.GlobalWorkerOptions.workerSrc = '//cdnjs.cloudflare.com/ajax/libs/pdf.js/...

7. 自动化防御流程图

graph TD
            A[用户上传PDF] --> B{文件类型校验}
            B -- 合法 --> C[静态扫描JS关键字]
            B -- 非法 --> D[拒绝上传]
            C -- 发现JS --> E[调用Ghostscript净化]
            C -- 无JS --> F[直接存储]
            E --> G[生成洁净PDF]
            G --> H[存入安全存储]
            H --> I[提供只读预览链接]
            I --> J[CSP+iframe沙箱保护]

8. 高级检测：结合机器学习与行为分析

对于高级威胁，可引入PDF语义分析引擎，例如：

• 提取PDF对象图谱，识别异常引用链
• 训练分类模型判断“正常PDF”与“恶意PDF”的结构差异
• 集成YARA规则匹配已知恶意模板

示例YARA规则片段：

rule Embedded_JavaScript_In_PDF {
    strings:
        $js_action = "/S /JavaScript" ascii
        $open_action = "/OpenAction" ascii
        $auto_run = "/AA" ascii
    condition:
        all of them
}
    

9. 安全配置最佳实践清单

项目	建议配置
上传限制	最大5MB，仅允许.pdf扩展名（双重校验）
MIME类型检查	必须为application/pdf
服务端处理	使用Ghostscript或PDFBox清除脚本
预览环境	iframe + sandbox + CSP
日志记录	记录上传者IP、时间、文件哈希
定期扫描	对存量PDF批量重净化