PDF, estructura y acciones

Un PDF se compone de objetos, y ciertas palabras clave del formato (las que empiezan por una barra) señalan capacidades: /JavaScript para código incrustado, /OpenAction para lo que ocurre al abrir, /Launch para lanzar algo, /EmbeddedFile para un archivo dentro del PDF, /URI para un enlace. Una herramienta de recuento las cuenta sin abrir el documento ni ejecutar nada.

El recuento es un triaje: dice dónde mirar con más atención. No dice qué hace el documento ni si lo hace de verdad, y varias de esas palabras aparecen en PDF corrientes. Abre pdfid-comparado.txt.

Entre las palabras clave, una es especial para el triaje: la que define una acción que el visor realiza automáticamente al abrir el documento, sin que la persona pulse nada. Un contrato o una factura no la necesitan para mostrarse. Compara las dos columnas del recuento: busca la palabra de esa clase que vale 1 en el adjunto retenido y 0 en el formulario conocido.

Esa diferencia, y no la mera presencia de JavaScript, es la que justifica priorizar un PDF.

Un PDF puede llevar otros archivos incrustados, con su propio nombre y tamaño; el visor los muestra como «adjuntos del documento». En un contrato de suministro no hay motivo para llevar una hoja de cálculo. Un listado estructural, como el que produce una herramienta de lectura de objetos, enseña el nombre del archivo y el tamaño de su flujo sin sacarlo del documento.

Lee objetos-A-0232.txt y localiza el objeto que describe el archivo incrustado. Observa también que el contenido de los flujos no se reproduce: quien lo necesite lo lee en la estación aislada, con permiso.

Muchos PDF dañinos no tienen nada técnico: son una imagen con un botón que dirige a un enlace. El objeto de tipo anotación guarda la dirección real del enlace, que puede no tener nada que ver con lo que dice el texto visible. Leer a la vez texto-visible-A-0232.txt y la anotación permite comparar lo que se promete con lo que se hace.

El texto visible de este caso pide además que se acepte abrir un archivo adjunto: eso es presión sobre la persona, un indicio de ingeniería social aunque no sea técnico.

El formulario conocido también tiene /JS y /JavaScript con valor 1 y es benigno: los formularios usan scripts pequeños para validar campos y por eso llevan además /AcroForm. Si el analista concluyera «hay JavaScript, luego es malo», clasificaría mal la plantilla oficial de Compras y perdería la confianza del equipo. La conclusión se construye con la combinación: qué acciones hay, cuáles son comunes en ese tipo de documento y cuáles sobran.