用途：对可疑 PDF 文档做静态分析，用于钓鱼邮件附件研判、PDF 漏洞文档的恶意软件分析、提取内嵌 JavaScript/shellcode/可执行文件、武器化文档取证，以及构建 PDF 威胁检测特征。
主要能力：用 pdfid 快速扫描 /JS、/JavaScript、/OpenAction、/Launch、/EmbeddedFile 等可疑关键字；用 peepdf 交互模式查看对象结构、定位含 JavaScript 或编码数据的对象、导出可疑流并解码 FlateDecode、ASCIIHexDecode 等过滤器；对提取的 JS 做反混淆，分析 shellcode、堆喷射或漏洞利用代码；用 peepdf 的 vtcheck 通过文件哈希交叉比对 VirusTotal 检测结果；提取 URL、域名、哈希与 shellcode 特征作为 IOC。
使用方式：需 Python 3.8+ 并安装 peepdf-3（pip install peepdf-3），以及 Didier Stevens 套件中的 pdfid.py 与 pdf-parser.py；在隔离环境（虚拟机或沙箱）中运行。可选 PyV8 用于 peepdf 内 JavaScript 模拟，可选 Pylibemu 用于 shellcode 分析。典型流程为：pdfid 初筛、peepdf 交互分析、定位可疑对象、导出并解码内容、反混淆 JavaScript、VirusTotal 比对、生成 IOC。
输出：分析报告包含编号（PDF-MAL-[DATE]-[SEQ]）、文件名、SHA-256、可疑关键字、含 JavaScript 的对象 ID、提取的 URL、是否检测到 shellcode、内嵌文件数量与类型、VirusTotal 检出比例及风险等级（Critical/High/Medium/Low）。
限制：资料未提供具体命令示例、各工具版本兼容性细节与误报处理方式；分析应在隔离环境中进行，避免直接打开恶意文档。