DFRWS 2007 Challenge PDF編
DFRWS 2007 Forensics Challenge
一位になった人のプログラムを使用してみる。
PDFファイルフォーマット
XREF Tables and Trailers
xref
0 28 ←Object IDs の範囲
0000000000 65535 f
0000369883 00000 n ←Object ID 1 file offset 369883
0000000019 00000 n ←Object ID 2 file offset 19
...
trailer
<<
/Size 280
/Info 219 0 R
/Root 235 0 R
/Prev 309490 ←offset 309490に違うXREF Tableがある
/ID[
]
>>
PDF サルベージ 前準備
1.サルベージ対象からPDFファイルフォーマットのリストインデックスを作成
$ python pdf_carver.py -i pdf.idx -c ../dfrws-2007-challenge.img
Found OBJECTS in 936
Found OBJECTS in 1222
Found OBJECTS in 2333
Found OBJECTS in 2382
Found OBJECTS in 2403
Found OBJECTS in 3473
Found OBJECTS in 3497
Found OBJECTS in 27398657
Found OBJECTS in 27399170
Found OBJECTS in 27399563
Found OBJECTS in 27399983
Found OBJECTS in 27400485
Found OBJECTS in 27400642
以下省略
2.作成したリストインデックスからマッピングファイルを作成
$ python pdf_carver.py -i pdf.idx -m ../dfrws-2007-challenge.img
Reading XREFs table from 38267254
[]
Output of PDF file
Xref Table:
[0, 0, 65535, 'f']
[1, 388895, 0, 'n']
[2, 389047, 0, 'n']
[3, 389297, 0, 'n']
[4, 398708, 0, 'n']
[5, 416173, 0, 'n']
[6, 469803, 0, 'n']
[7, 475804, 0, 'n']
[8, 481850, 0, 'n']
[9, 482096, 0, 'n']
Trailer: [{'/ID': ["\xc726\x95\xd5^\xd1\x8b*\xcb\xf0m\x98'1", "\xc726\x95\xd5^\xd1\x8b*\xc
b\xf0m\x98'1"], '/Size': 10.0}]
Xref Offsets: [173]
Xref range: [0, 10]
0 - 0 f
1 - 388895 n
2 - 389047 n
3 - 389297 n
4 - 398708 n
5 - 416173 n
6 - 469803 n
7 - 475804 n
8 - 481850 n
9 - 482096 n
以下省略
$ ls -la
-rw-r--r-- 1 luffy luffy 2500 Sep 6 23:14 103228588.map
-rw-r--r-- 1 luffy luffy 14033 Sep 6 23:14 103537905-103228588.map
-rw-r--r-- 1 luffy luffy 11947 Sep 6 23:14 103537905.map
-rw-r--r-- 1 luffy luffy 987 Sep 6 23:14 146288243.map
-rw-r--r-- 1 luffy luffy 4228 Sep 6 23:14 146306832-146288243.map
-rw-r--r-- 1 luffy luffy 3550 Sep 6 23:14 146306832.map
-rw-r--r-- 1 luffy luffy 2711 Sep 6 23:14 147103916.map
-rw-r--r-- 1 luffy luffy 27081 Sep 6 23:15 148733892-147103916.map
-rw-r--r-- 1 luffy luffy 24810 Sep 6 23:14 148733892.map
-rw-r--r-- 1 luffy luffy 4897 Sep 6 23:14 236510367.map
-rw-r--r-- 1 luffy luffy 2337 Sep 6 23:14 300187251.map
-rw-r--r-- 1 luffy luffy 3259 Sep 6 23:14 300214444.map
-rw-r--r-- 1 luffy luffy 3332 Sep 6 23:14 300917133-300187251.map
-rw-r--r-- 1 luffy luffy 1281 Sep 6 23:14 300917133.map
-rw-r--r-- 1 luffy luffy 4082 Sep 6 23:15 300966897-300214444.map
-rw-r--r-- 1 luffy luffy 1242 Sep 6 23:14 300966897.map
-rw-r--r-- 1 luffy luffy 4592 Sep 6 23:14 300968051.map
-rw-r--r-- 1 luffy luffy 8516 Sep 6 23:14 304512789.map
-rw-r--r-- 1 luffy luffy 10846 Sep 6 23:14 304516723-304512789.map
-rw-r--r-- 1 luffy luffy 2616 Sep 6 23:14 304516723.map
-rw-r--r-- 1 luffy luffy 1317 Sep 6 23:14 304655475.map
-rw-r--r-- 1 luffy luffy 986 Sep 6 23:14 304689779.map
-rw-r--r-- 1 luffy luffy 7046 Sep 6 23:14 305551242-304689779.map
-rw-r--r-- 1 luffy luffy 6368 Sep 6 23:14 305551242.map
-rw-r--r-- 1 luffy luffy 658 Sep 6 23:14 38267254.map
-rw-r--r-- 1 luffy luffy 7839 Sep 6 23:14 38315692-38267254.map
-rw-r--r-- 1 luffy luffy 7553 Sep 6 23:14 38315692.map
-rw-r--r-- 1 luffy luffy 390 Sep 6 23:14 40306803.map
-rw-r--r-- 1 luffy luffy 937 Sep 6 23:15 40320638-40306803.map
-rw-r--r-- 1 luffy luffy 679 Sep 6 23:14 40320638.map
-rw-r--r-- 1 luffy luffy 3835 Sep 6 23:14 61335724.map
PDFファイル構築
構築に使うマップファイルは下記
-rw-r--r-- 1 luffy luffy 14033 Sep 6 23:14 103537905-103228588.map
-rw-r--r-- 1 luffy luffy 4228 Sep 6 23:14 146306832-146288243.map
-rw-r--r-- 1 luffy luffy 27081 Sep 6 23:15 148733892-147103916.map
-rw-r--r-- 1 luffy luffy 3332 Sep 6 23:14 300917133-300187251.map
-rw-r--r-- 1 luffy luffy 4082 Sep 6 23:15 300966897-300214444.map
-rw-r--r-- 1 luffy luffy 10846 Sep 6 23:14 304516723-304512789.map
-rw-r--r-- 1 luffy luffy 7046 Sep 6 23:14 305551242-304689779.map
-rw-r--r-- 1 luffy luffy 7839 Sep 6 23:14 38315692-38267254.map
-rw-r--r-- 1 luffy luffy 937 Sep 6 23:15 40320638-40306803.map
$ python PDFForcer.py -m 103537905-103228588.map -r 103537905-103228588.map.final -o 10353790
5-103228588.pdf ../dfrws-2007-challenge.img
サルベージできた箇所
103537905-103228588.map
146306832-146288243.map
300917133-300187251.map
305551242-304689779.map
$ ls -la *.pdf
-rw-r--r-- 1 luffy luffy 314300 Sep 7 00:17 103537905-103228588.pdf
-rw-r--r-- 1 luffy luffy 19617 Sep 7 00:23 146306832-146288243.pdf
-rw-r--r-- 1 luffy luffy 547772 Sep 7 00:28 300917133-300187251.pdf
-rw-r--r-- 1 luffy luffy 48603 Sep 7 00:32 305551242-304689779.pdf
-rw-r--r-- 1 luffy luffy 2086095 Sep 7 00:34 40320638-40306803.pdf
