javascript - 使用 Acrobat Reader 的保护模式规则 FILES_ALLOW_READONLY

Question

对于 Adobe Reader 的保护模式，我使用的是 FILES_ALLOW_READONLY 策略例外，我想知道这是否是合理的安全风险？

我正在使用 Adobe Reader Javascript 程序来保存和恢复打开的选项卡： Adobe Acrobat Reader Tabs Saving And Autoloading

由于 Acrobat Reader 的默认保护模式策略，该程序不适用于某些 pdf 文件。在程序的 LoadTabs 函数中，app.openDoc 对某些文件失败，例如 c:\users\myUserid 下的文件

关闭保护模式可以绕过这个问题，但这似乎太冒险了。（首选项->安全（增强）->“启动时启用保护模式”）

风险较小的解决方案是创建一个策略文件，其规则为：FILES_ALLOW_READONLY=c:\users\myUserid\*

对于典型的工作站，这条规则是否存在合理的风险？

编辑： 我后来在保护模式政策规范中读到了这一点（链接在上面），“在 11.0 中，读者的保护模式确实阻止沙箱读取这些位置中的任意文件 [（例如，MyDocuments）]。这个增强 [在 11.0 ] 使恶意 PDF 更难窃取用户的机密信息。”

因此，我对 FILES_ALLOW_READONLY 的使用创建了一个漏洞，该漏洞可能允许恶意 PDF 窃取 c:\users\myUserid\* 下的信息

似乎可以通过禁用 Acrobat Javascript 来减少漏洞，如此链接中所述。 https://helpx.adobe.com/acrobat/using/javascripts-pdfs-security-risk.html

禁用 Acrobat Javascript 后，选项卡 Javascript 功能仍然有效。但是，我不知道漏洞减少了多少，或者可用性会受到多少负面影响。

关于该规则是否具有合理风险取决于漏洞被利用的可能性。对于典型的工作站，这种利用的可能性有多大？

score 0 · Accepted Answer

无需关闭保护模式或使用策略例外。相反，在同一个对话框中，您可以将本地文件夹添加到特权位置列表。这些位置的文件被认为是受信任的，不受安全限制的约束。

1 回答 1