Как восстановить удаленные метаданные PDF

Форензика восстановление данных

В этой небольшой статье я поделюсь с вами интересным наблюдением. В одном из моих OSINT-кейсов я наткнулся на интересную вещь связанную с метаданными PDF. Оказывается можно восстановить удаленные метаданные PDF-файла.

Еще по теме: Как извлечь метаданные PDF-файла

Восстановить удаленные метаданные PDF

Формат PDF позволяет сохранить предыдущие изменения документа в более поздней версии документа, тем самым создавая текущую историю изменений для документа. Получается, что удаленные метаданные инкрементны, а история изменений метаданных сохраняется в самом PDF-файле.

Для восстановления удаленных метаданных, нам потребуется инструмент ExifTool, который мы использовали в прохождении задания OSINT TryHackMe. ExifTool — это инструмент для чтения, изменения и удаления метаданных файлов.

Итак устанавливаем ExifTool:

Запускаем ExifTool для проверки метаданных:

Восстановить информацию PDF

А теперь попробуем восстановить удаленные метаданные PDF:

Посмотреть метаданные PDF

Как видите ExifTool смог восстановить ранее удаленную, важную информацию.

Удалить метаданные PDF без возможности восстановления

Насколько я понял, пока нужно удалить метаданные с помощью:

Затем повторно линеаризовать PDF с помощью какой-нибудь тулзы типа qpdf:

Утилита для анализа и восстановления метаданных PDF

Уже после написания этой статьи, наткнулся на интересный инструмент, который называется PDFResurrect.

PDFResurrect — предназначен для анализа PDF-документов. Этот инструмент вытаскивает из PDF все версии файла. Измененные версии будут созданы как новые файлы, оставив исходный PDF без изменений.

На этом все. Я думаю информация будет полезна в ваших расследованиях OSINT и в форензике.

ПОЛЕЗНЫЕ ССЫЛКИ:

QUASAR

Этичный хакер: компьютерный ниндзя и мастер цифровых тайн.

Добавить комментарий

  1. Иеахсан

    Так я не понял, где взять прогу, чтобы восстановить удалённые метаданные пдф файла?

    Ответить
    1. Че

      sudo apt install libimage-exiftool-perl