孙本阳　王轶骏　薛　质

(上海交通大学电子信息与电气工程学院　上海 200240)



一种改进的恶意PDF文档静态检测方案

孙本阳王轶骏薛质

(上海交通大学电子信息与电气工程学院上海 200240)

随着PDF文件的使用日益广泛，恶意的PDF文档不断涌现。现有的恶意PDF文档的检测方案有一定的缺陷，静态检测的准确度较低并且易混淆。提出一种基于改进的N-gram文本提取机制和增强的单一类别支持向量机的机器学习模型的静态检测方案。实验结果表明，该方案提高了静态检测方案的准确率，增加了一定的功能性和扩展性。

恶意PDF文档静态检测单一类别支持向量机

0　引　言

自2008年AdobeReader被发现出第一例关键漏洞以来，PDF已经成为了攻击者的主要目标。针对PDF的攻击方法可以分为三类。第一类是针对AdobeJavaScriptAPI的攻击，这种方法也是发现最早并使用最广的一种。第二类是利用AdobeReader的非JavaScript的漏洞，但是需要使用JavaScript来触发，例如使用堆喷射技术等。第三类是使用嵌入PDF文档中的一些TrueType的漏洞，这一类的攻击方式和JavaScript无关，也很少被使用。与其他的JavaScript的攻击方式相比，例如“由下载驱动”，SQL注入或者跨站脚本，这些JavaScript的攻击方式由于和浏览器，尤其是微软的InternetExploerer直接相关，得到了更为广泛的重视，但基于PDF的攻击在研究中并没有引起大量的关注。目前，针对PDF的攻击绝大多数是与JavaScript相关联的，其检测模式主要有三种：纯静态的检测模式；纯动态的检测模式和动静结合的模式。纯静态的检测模式，是基于PDF的某些特征，比如结构或内容，通过静态提取出文档当中的结构或字符，分析对比，确定是否为恶意。……