الـ Metadata: أسرار جُوّه الملفات

في درس Google Dorking طلّعنا ملفات PDF منشورة على موقع الشركة. الملفات دي فيها حاجة أغلب الناس ما بتشوفهاش: الـ metadata.

الـ metadata يعني بيانات عن البيانات. في ملفات PDF و Word: اسم الكاتب، والبرنامج اللي اتعمل بيه، وتاريخ الإنشاء. وفي الصور: نوع الكاميرا، وساعات مكان التصوير بالـ GPS.

ده بيفيد في إيه؟ اسم الكاتب غالباً هو الـ username بتاعه على الـ domain. إصدار البرنامج أو الـ Windows بيقولّك الشركة بتستخدم إيه، ولو قديم يبقى فيه ثَغَرات معروفة. والأداة الأشهر اسمها exiftool. ملف PDF من جُوّه فيه جزء اسمه Info، شكله زي اللي قدامك. نستخدم regular expression تدوّر على slash، وبعدها اسم، وبعدها قيمة بين parentheses، ونحوّل النتيجة لـ dictionary. نشغّل… الكاتب ahmed dot hassan، وده غالباً الـ username بتاعه. والملف اتعمل بـ Word ألفين وستاشر على Windows عشرة.

import re

# The start of a real PDF keeps an "Info" dictionary like this one
pdf = b"""%PDF-1.4
1 0 obj
<< /Title (Q3 Sales Report)
   /Author (ahmed.hassan)
   /Creator (Microsoft Word 2016)
   /Producer (Windows 10 Pro)
   /CreationDate (D:20240312094500) >>
endobj
"""

meta = dict(re.findall(rb"/(\w+) \(([^)]*)\)", pdf))

for key, value in meta.items():
    print(f"{key.decode():13} {value.decode()}")

Title         Q3 Sales Report
Author        ahmed.hassan
Creator       Microsoft Word 2016
Producer      Windows 10 Pro
CreationDate  D:20240312094500

دورك: اطبع بس الحاجتين المهمين للـ Pentester: الـ Author والـ Creator، وقبل كل واحد كلمة interesting.

الحل: نشغّل…

import re

# The start of a real PDF keeps an "Info" dictionary like this one
pdf = b"""%PDF-1.4
1 0 obj
<< /Title (Q3 Sales Report)
   /Author (ahmed.hassan)
   /Creator (Microsoft Word 2016)
   /Producer (Windows 10 Pro)
   /CreationDate (D:20240312094500) >>
endobj
"""

meta = dict(re.findall(rb"/(\w+) \(([^)]*)\)", pdf))

for key, value in meta.items():
    print(f"{key.decode():13} {value.decode()}")

for key in [b"Author", b"Creator"]:
    print("interesting:", meta[key].decode())

Title         Q3 Sales Report
Author        ahmed.hassan
Creator       Microsoft Word 2016
Producer      Windows 10 Pro
CreationDate  D:20240312094500
interesting: ahmed.hassan
interesting: Microsoft Word 2016

كده خلّصنا الجمع السلبي. الدرس الجاي هنبدأ الجمع النشط: إزاي تعرف أنهي أجهزة شغّالة على الشبكة. يلا بينا.