Os PDFs podem conter recursos que são carregados da Internet?

Question

Eu encontrei essas informações no site do Tor :

You should be very careful when downloading documents via Tor (especially DOC and PDF files) as these documents can contain Internet resources that will be downloaded outside of Tor by the application that opens them. This will reveal your non-Tor IP address. If you must work with DOC and/or PDF files, we strongly recommend either using a disconnected computer, downloading the free VirtualBox and using it with a virtual machine image with networking disabled, or using Tails. Under no circumstances is it safe to use BitTorrent and Tor together, however.

As imagens não podem ser incorporadas a partir de uma fonte externa, tanto quanto eu sei. Então, quais recursos são destinados?

    

Answer 1

Acho que a chave da sua pergunta é que você pode incorporar o JavaScipt em um PDF. E este artigo parece explicar esse processo: “Como melhorar seus formulários PDF com JavaScript”

Assim, você pode incorporar algum código que se conecte a um servidor externo para trocar dados entre o exterior e seu PC.

Não tenho certeza se existem opções de segurança incorporadas que limitam a possibilidade de um arquivo PDF chamar de casa. Talvez isso também dependa do leitor de PDF que está sendo usado.

EDITAR:

Para verificar as configurações no Adobe Reader, pressione ctrl-k e selecione Gerenciador de confiança no lado esquerdo. Isso mostra as seguintes opções na minha versão:

Você pode fornecer detalhes sobre quais sites você considera aceitáveis para um PDF entrar em contato. Além disso, novamente no lado esquerdo, clique em JavaScript, onde você pode ativar ou desativar o uso do Adobe JavaScript.

De acordo com o comentário de mgutt abaixo, não pude ver por que você não deveria usar app.media.getURLData() para carregar dados externos se JavaScript, nenhuma outra restrição é definida e, claro, o aplicativo pdf suporta JavaScript.

    

Answer 2

Você aponta esta fora do site do Tor :

…these documents can contain Internet resources that will be downloaded outside of Tor by the application that opens them.

A palavra-chave lá é "can" e o aviso - como eu o li - é uma declaração genérica "Vamos ser cuidadosos lá ...".

Não tenho 100% de certeza sobre imagens especificamente, mas existem exploits, ferramentas e tutoriais que descrevem métodos de injeção de exploits de rootkit em PDFs como este ; ênfase ousada é minha:

In this exploit, we will alter an existing .pdf file that can then be posted to our website. When friends or others download it, it will open a listener (a rootkit) on their system and give us total control of their computer remotely.

E mais claramente afirmado perto do fim; mais uma vez a ênfase ousada é minha:

Simply copy this file to your website and invite visitors to download it. When our victim downloads and opens this file from your website, it will open a connection to your system that you can use to run and own their computer system.