当你试图下载一些东西时，Chrome经常警告你“这种类型的文件会伤害你的电脑”，即使是PDF文件。但是PDF文件怎么会这么危险呢？PDF文件不就是一个包含文本和图像的文档吗？

像Adobe Reader这样的PDF阅读器多年来一直是许多安全漏洞的来源。这是因为PDF文件不仅仅是一个文档—它可以包含脚本、嵌入式媒体和其他可疑的内容。

PDF不仅仅是文档

PDF文件格式实际上非常复杂。它可以包含许多内容，而不仅仅是文本和图像，正如您所期望的那样。PDF支持许多可以说是不应该支持的功能，这在过去打开了许多安全漏洞。

• JavaScript:pdf可以包含JavaScript代码，这与浏览器中的网页使用的语言相同。PDF可以是动态的，可以运行修改PDF内容或操纵PDF查看器功能的代码。过去，许多漏洞都是由PDF使用JavaScript代码攻击Adobe Reader造成的。adobereader的JavaScript实现甚至包含特定于Adobe的JavaScript api，其中一些api是不安全的，已经被利用。
• 嵌入式Flash:PDF可以包含嵌入式Flash内容。Flash中的任何漏洞也可能被用来危害Adobe Reader。直到2012年4月10日，AdobeReader都有自己的捆绑Flash播放器。在主Flash播放器中修复的安全缺陷可能要到几周后才能在adobereader的捆绑Flash播放器中修复，这使得安全漏洞非常容易被利用。Adobe Reader现在使用安装在系统上的Flash播放器，而不是内部播放器。
• 启动操作：PDF文件可以在弹出确认窗口后启动任何命令。在旧版本的Adobe Reader中，只要用户单击OK，PDF文件就可能试图启动一个危险的命令。Adobe Reader现在包含一个黑名单，限制PDF文件启动可执行文件。

• GoToE:PDF文件可以包含嵌入的PDF文件，这些文件可以加密。当用户加载主PDF文件时，可以立即加载其嵌入的PDF文件。这使得攻击者能够在其他PDF文件中隐藏恶意PDF文件，通过阻止反病毒扫描程序检查隐藏的PDF文件来愚弄他们。
• 嵌入式媒体控件：除了Flash之外，pdf还可以包含Windows媒体播放器、RealPlayer和QuickTime媒体。这将允许PDF利用这些可嵌入多媒体播放器控件中的漏洞。

PDF文件格式中还有许多特性增加了它的攻击面，包括在PDF中嵌入任何文件和使用3D图形的能力。

pdf安全性得到了改进

现在，您应该有希望了解为什么Adobe Reader和PDF文件是如此多安全漏洞的来源。PDF文件可能看起来像简单的文档，但不要上当受骗——表面下可能会有更多的事情发生。

好消息是PDF的安全性有所提高。Adobe在AdobeReaderX中添加了一个名为“保护模式”的沙盒。该沙盒在有限的、锁定的环境中运行PDF，在该环境中，它只能访问计算机的某些部分，而不能访问整个操作系统。这类似于Chrome的沙盒将网页进程与计算机的其他部分隔离开来。这为攻击者创造了更多的工作。他们不仅要在PDF查看器中找到一个安全漏洞-他们还必须找到一个安全漏洞，然后使用沙盒中的第二个安全漏洞来逃离沙盒并对计算机的其余部分造成损坏。这并非不可能做到，但自从引入沙盒以来，在adobereader中发现和利用的安全漏洞要少得多。

您还可以使用第三方PDF阅读器，它通常不支持所有PDF功能。在一个PDF包含如此多可疑特性的世界里，这可能是一件幸事。Chrome有一个使用沙盒的集成PDF查看器，而Firefox有自己的完全用JavaScript编写的集成PDF查看器，因此它在与普通网页相同的安全环境中运行。

虽然我们可以怀疑PDF是否真的能够完成所有这些事情，但PDF的安全性至少已经有所提高。对于java插件来说，这是我们无法说的，这是可怕的，目前是Web上的主要攻击向量。如果您也安装了Java插件，Chrome会在运行Java内容之前警告您。