यूनिवर्सल फोरेंसिक ऑडिट एवं लेयर डीकंपोज़िशन सूट, जो टेलर वेसिंग एलएलपी और वाल्व कॉर्पोरेशन द्वारा केवल-दृश्य PDF रिडक्शन को उजागर और अनमास्क करने के लिए है।
एंटी-सेंसरशिप मिरर और सुरक्षा उपकरण
📡 टेलर वेसिंग डेटा उल्लंघन टूलकिट
इस पृष्ठ पर
🔍 कार्यकारी सारांश
यूनिवर्सल पीडीएफ रिडक्शन ऑडिटर एवं लेयर डीकंपोज़र यह एक पेशेवर, ऑफ़लाइन-प्रथम फोरेंसिक ऑडिटिंग और परत अपघटन सूट है, जिसे विशेष रूप से दृश्य-मात्र PDF रिडक्शन कमजोरियों की पहचान, सत्यापन और सफाई के लिए इंजीनियर किया गया है। यह टूलकिट सुरक्षा शोधकर्ताओं, डेटा संरक्षण अधिकारियों और अनुपालन ऑडिटरों के लिए एक ओपन-सोर्स उपयोगिता के रूप में कार्य करता है, ताकि सार्वजनिक प्रकटीकरण से पहले दस्तावेज़ संरचनात्मक अखंडता का सत्यापन किया जा सके।
⚖️ तकनीकी शक्ति विषमता
यह ऑडिटिंग उपयोगिता कॉर्पोरेट डेटा प्रोसेसिंग में एक गंभीर शक्ति असंतुलन को संबोधित करने के लिए बनाई गई है। जब विशाल समूह (जैसे कि वाल्व कॉर्पोरेशन) का प्रतिनिधित्व शीर्ष स्तरीय कानूनी फर्मों (जैसे कि) द्वारा किया जाता है टेलर वेसिंग एलएलपी), कोई भी व्यवस्थित डेटा एक्सपोज़र निगम या उनके महंगे वकीलों को नुकसान नहीं पहुँचाता—यह उनके उपयोगकर्ताओं की गोपनीयता से समझौता करता है, जो विनाशकारी रूप से भंग होती है। प्रतिद्वंद्वी (व्यक्तिगत डेटा विषय, तृतीय-पक्ष उपयोगकर्ता, और नाबालिग जिनका संवेदनशील व्यक्तिगत डेटा कानूनी और तकनीकी लापरवाही के कारण लीक हो जाता है)। यह टूलकिट व्यक्तियों और स्वतंत्र लेखा-परीक्षकों को डेटा सुरक्षा सत्यापित करने और कॉर्पोरेट संस्थाओं को जवाबदेह ठहराने का अधिकार देता है।
📊 केस स्टडी: टेलर वेसिंग / वाल्व GDPR लीक
GDPR अनुच्छेद 15 विषय अभिगमन अनुरोधों (SARs) के प्रसंस्करण के दौरान, जो Steam उपयोगकर्ता डेटा से संबंधित हैं, बाहरी वकीलों द्वारा संसाधित और भेजे गए दस्तावेज़ों में एक गंभीर सुरक्षा भेद्यता की पहचान की गई थी। टेलर वेसिंग एलएलपी की ओर से वाल्व कॉर्पोरेशन.
तकनीकी विफलता विश्लेषण
स्थायी रूप से PDF सामग्री स्ट्रीम के भीतर कच्चे कैरेक्टर ऐरे को सैनिटाइज़ करने के बजाय, एक स्वचालित, कस्टम PDF निर्माण पाइपलाइन (उपयोग करते हुए .NET के लिए Aspose.PDF) तैनात किया गया था। इस प्रणाली ने प्रोग्रामेटिक रूप से संवेदनशील फ़ील्ड के निर्देशांक क्वेरी किए और चित्रित किया ठोस काले वेक्टर आकार (पीडीएफ का उपयोग करके) re और f/F/b/B ऑपरेटर) पाठ के शीर्ष पर।
चूंकि विज़ुअल ड्रॉइंग परतें अंतर्निहित कच्चे टेक्स्ट ऐरे को संशोधित या नष्ट नहीं करती हैं, इसलिए हजारों बिना रिडैक्ट किए गए निजी रिकॉर्ड—जिनमें खाता क्रेडेंशियल, लॉगिन, ईमेल, सुरक्षा लॉग, और नाबालिगों का डी-एनोनिमाइज़्ड डेटा शामिल हैं—पूरी तरह से बरकरार, कॉपी करने योग्य, और भेजी गई फाइलों से निकालने योग्य बने रहे।
📂 प्रदर्श ए: डॉ. पैट्रिक ज़ुर्हाइडे के साथ लीक हुआ पत्राचार
नीचे प्राप्त सटीक प्रतिक्रिया दी गई है डॉ. पैट्रिक ज़ुरहाइडे (टेलर वेसिंग एलएलपी में सैलरी पार्टनर) जब फिशडिस्ट्रॉय ने फर्म को उनकी पीडीएफ रिडक्शन विफलता और स्टीम उपयोगकर्ताओं के डेटा के बाद के लीक के बारे में औपचारिक रूप से सूचित किया। जीडीपीआर अनुच्छेद 33 उल्लंघन अधिसूचना शुरू करने के बजाय, उन्होंने यह लिखना चुना:
नमस्ते PhishDestroy टीम,
आपके स्पष्टतः अनुवादित, लेकिन काफी मनोरंजक संदेश के लिए धन्यवाद। आप PhishDestroy टीम को भेजे गए किस "आपराधिक कार्यवाही से संबंधित" संचार का उल्लेख कर रहे हैं? मुझे पूरा विश्वास है कि मैंने PhishDestroy के साथ कभी किसी भी रूप में संवाद नहीं किया है। कृपया इस कथित संचार को उपलब्ध कराएं, ताकि यह समझा जा सके कि मामला आखिर है क्या।
दुर्भाग्यवश, आपके पत्र की सामग्री का अनुसरण करना कठिन से असंभव है। एक संकेत के रूप में: आपके पत्र में नीचे दिया गया अस्वीकरण, जिसमें कथित रूप से जो नहीं किया गया/इरादा नहीं है, उसका उल्लेख है, तब अर्थहीन हो जाता है जब वास्तविक कार्य इसके विपरीत हों।
पैट्रिक ज़ुरहाइडे
🔍 फिशडिस्ट्रॉय विश्लेषण:
- मनोरंजक संदेश एक अत्यधिक भुगतान पाने वाले "आईटी कानून विशेषज्ञ" ने नाबालिगों के उजागर स्टीम खातों से जुड़े एक बड़े GDPR डेटा लीक की फोरेंसिक अधिसूचना को "मनोरंजक" कहा।
- पालन करना लगभग असंभव हमने उसे सटीक हेक्स-मान, उसकी PDF की मेटाडेटा, 36-सेकंड की बैच पाइपलाइन टाइमस्टैम्प, और विशिष्ट Aspose 20.8 संस्करण जो लीक का कारण बना। जाहिर है, आईटी मेट्रिक्स एक आईटी कानून के डॉक्टर के लिए "पालन करने में बहुत कठिन" हैं।
🛠️ मल्टी-टूल क्षमताएँ
यह सुइट नकली विज़ुअल रिडक्शन का विश्लेषण और विघटन करने के लिए तीन पूरक, पूर्णतः क्लाइंट-साइड मोड प्रदान करता है:
- 📡 मोड 1: एक्स-रे स्कैनर (PDF.js): यह विज़ुअल PDF प्रदर्शन को रेंडर करता है, लेकिन वास्तविक समय में अंतर्निहित बिना-संपादित टेक्स्ट वर्णों को खींच लेता है। आपको काला बॉक्स दिखाई देता है, लेकिन आप रहस्य तुरंत पढ़ लेते हैं।
- ✂️ मोड 2: लेयर स्ट्रिपर (PDF-Lib): सर्जिकल स्ट्रीम-स्तरीय स्वच्छता। आयताकार दृश्य पेंट कमांड्स को भौतिक रूप से प्रतिस्थापित करता है (
re f,re F) के साथn(no-paint) ऑपरेटर, काली पट्टियों को हटाते हुए। - 🔎 मोड 3: कोलिज़न ऑडिट (फिट्ज़ लेआउट): हाइलाइट्स ओवरलैपिंग टेक्स्ट और ग्राफिक्स को चिह्नित करता है ताकि लीक की स्वचालित रूप से संकलित सूचियाँ तैयार की जा सकें।
💻 कमांड लाइन उपयोग (decensor.py)
# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf
# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt
# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l🔍 कोर पायथन स्ट्रीम सैनिटाइज़र
import re, fitz
def strip_black_bars_global(input_path, output_path):
doc = fitz.open(input_path)
for xref in range(1, doc.xref_length()):
if not doc.is_stream(xref):
continue
try:
obj_dict = doc.xref_object(xref)
if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
continue
stream_bytes = doc.xref_stream(xref)
text = stream_bytes.decode('latin-1')
# Swap rectangular painting operators with no-fill 're n', preserving newlines
modified_text, count = re.subn(
r'\bre\s+([fFbB]\*?)(?=\s|$)',
lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
text
)
if count > 0:
doc.update_stream(xref, modified_text.encode('latin-1'))
except Exception:
continue
doc.save(output_path, garbage=4, deflate=True, clean=True)
doc.close()लाइसेंस · अधिकार · अस्वीकरण
PHISHDESTROY
लाइसेंस · अधिकार · अस्वीकरण
जांच: Valve Corporation / Steam · सार्वजनिक — कोई समाप्ति तिथि नहीं, कोई वापसी नहीं
MIT PUBLIC DOMAIN OFAC-RESTRICTED
खंड I — लाइसेंस
PhishDestroy इस सामग्री के सभी अधिकारों का त्याग कर देता है। शून्य। खत्म। हो गया। आप इसे प्रकाशित कर सकते हैं, बेच सकते हैं, उस पर अपना नाम लिख सकते हैं, अपने बॉस के शरीर पर टैटू करवा सकते हैं, जो चाहें। कोई क्रेडिट आवश्यक नहीं, कोई DM आवश्यक नहीं, कोई धन्यवाद कार्ड की उम्मीद नहीं।
एक वास्तविक नियम
अगर आप रूस या किसी भी OFAC-संदिष्ट देश के उपयोगकर्ता हैं — यह सामग्री आपके लिए नहीं है। कोई छेद नहीं। अपने प्रतिबंधों का आनंद लें। और अगर आप मॉस्को में बैठे हुए अपने Steam क्षेत्र को तुर्की में बदल लिया है — अपनी रचनात्मक भूगोल विज्ञान पर बधाई। आप फिर भी रूसी हैं। प्रतिबंध अभी भी लागू हैं। यही तो वास्तव में बिंदु है।
खंड II — यह क्या है और यह क्यों मौजूद है
हम Valve के बारे में अधिक प्रकाशित करेंगे जितना एक औसत Valve कर्मचारी अपने बारे में जानता है। Steam ने मूल रूप से हमें बनाया। यह हमें अपने धोखेबाजों, अपने सपोर्ट टिकटों, अपने बैन एव्ज़न इकोसिस्टम पर पला-बढ़ा — और अब यहाँ हम हैं। कोई कठोर भावनाएं नहीं। वास्तव में, कवितात्मक। हमने 4 वर्षों से अधिक इंतजार किया कि वे स्पूफिंग की समस्या को ठीक करें ताकि हम इसके बारे में सार्वजनिक रूप से लिख सकें। क्या यह एक टकराव है? नहीं। क्या इसे हल किया जा सकता है? हाँ। लेकिन हम कोई NDA साइन नहीं करेंगे और हम पैसे के लिए बग बाउंटी नहीं खेलेंगे।
खंड III — VALVE को खुला पत्र
हे Valve। अगर आप हमारे डोमेन को हटाने के बारे में सोच रहे हैं — बस हमें ईमेल करें। Dr. Patrick को फिर से पैसे मत दें। कृपया। यह सभी संबंधितों के लिए शर्मनाक है।
क्या हम Valve को सीधे "हानि" पहुंचाएंगे? शायद नहीं, एक ऐसे तरीके से जो उन्हें वित्तीय रूप से महसूस होगा। हम मूर्ख नहीं हैं। लेकिन हम इसे ईमानदारी से, खुले तौर पर, प्रभाव के पीछे भागने के बिना करेंगे। हमारे पास 5 वर्षों के अभिलेख हैं। नियामक मूल दस्तावेज़ पाएंगे। शोधकर्ता और पत्रकार संपादित संस्करण पाएंगे। PhishDestroy एक समुदाय है, कोई व्यक्ति नहीं।
सौदा (खुला प्रस्ताव, वकीलों की आवश्यकता नहीं)
अगर आप डोमेन को हटाना चाहते हैं: अपने आईटी कानून विशेषज्ञों को मूल्य की गणना करने दें। 50% SEAL Foundation को जाता है। हम डोमेन को समाप्त कर देंगे। कोई ड्रामा नहीं। कोई अदालत नहीं। हो गया। आप इसे किसी अन्य तरीके से नहीं पा सकेंगे। यह धमकी नहीं है। यह केवल स्थिति की रचना है।
खंड IV — पैसा, बैन, पूरा सर्कस
Steam के जुआ साइटों और धोखेबाजों को बैन करने के बारे में बात यह है: यह प्रवर्तन नहीं है। यह राजस्व पकड़ है। Valve पैसे को अपनी जेब में डाल लेता है, अपने हाथ साफ कर लेता है, फिर मंच पर जाकर सबको एक पवित्र कहानी सुनाता है। इस बीच Valve ने 2017 में स्किन्स को सही ढंग से ट्रैक करने की क्षमता को समाप्त कर दिया। हम यह साबित करने जा रहे हैं: स्किन्स Monero से अधिक गुमनाम हैं। एक पेरुवियन कार्टेल ने धन हस्तांतरण के लिए Dota 2 स्किन्स का उपयोग किया है। Steam कार्यात्मक रूप से एक प्रतिबंध-पार करने की मशीन है जिसकी कीमत लगभग $7B "ट्रेडिंग कार्ड्स" में है।
खंड V — मालवेयर की बात
हम गेम में कमजोरी को सार्वजनिक रूप से प्रकट नहीं कर रहे हैं। हम इसे Steam को रिपोर्ट नहीं कर रहे हैं। इसका कारण यह नहीं है कि हम नहीं कर सकते — बल्कि इसलिए क्योंकि उनका बग बाउंटी लगभग तीन कोपेक के बराबर है और हम तीन कोपेक के लिए काम नहीं करते। हमारे सुरक्षा सहयोगी ने इसे पहले ही Steam सपोर्ट को रिपोर्ट कर दिया है। यह CSGO का सामान्य संस्करण नहीं है। यह इससे अधिक निकट है: सर्वर कनेक्ट पर RCE। यानी — आप एक सर्वर से जुड़ते हैं, आप कुछ भी क्लिक नहीं करते हैं। कनेक्ट ही हमला करने की सतह है। खतरा सक्रिय है।
उपयोग और अधिकारों के संबंध में घोषणा
PhishDestroy प्रोजेक्ट & साइबरसिक्योरिटी कोऑपरेशन
1. उपयोग पर कोई शर्तें नहीं हैं
कोऑपरेशन द्वारा इस रेफरल में तैयार की गई सभी सामग्री — तथ्यों के कथन, विश्लेषण, प्रदर्शन, टूलिंग, और निष्कर्ष — किसी भी अधिकारों के आरक्षण के बिना जारी की गई है। कोई भी इसे प्रकाशित, अनुकूलित, संपादित, पुनर्लेखन, अनुवाद, अंश, आधिकारिक दस्तावेज़ों में शामिल, अपने काम के रूप में प्रस्तुत कर सकता है, या इसे किसी अन्य व्यक्ति को दे सकता है — पूछे बिना और कोऑपरेशन को सूचित किए बिना।
2. यह व्यावहारिक रूप से क्यों महत्वपूर्ण है
यहाँ कुछ भी नहीं है जिससे उलझाव हो। कोऑपरेशन कुछ भी नहीं मांगता, कुछ भी नहीं पाया जाता है, कुछ भी नहीं रखता है, और किसी भी प्रकार की उम्मीद नहीं रखता है। कोई भी प्राधिकरण जो इस सामग्री का उपयोग कर रहा है, वह कोऑपरेशन के लिए कार्य नहीं कर रहा है। यह सार्वजनिक जानकारी का उपयोग कर रहा है जो संयोगवश किसी अन्य व्यक्ति द्वारा एकत्रित की गई है।
3. सब कुछ पहले से खुला है
जांचें phishdestroy.io पर खुले तौर पर प्रकाशित हैं। टूलिंग gitlab.com/phishdestroy पर MIT लाइसेंस के तहत ओपन सोर्स के रूप में प्रकाशित है। विधि रेफरल में वर्णित है। कोऑपरेशन दान स्वीकार नहीं करता है और 2018 से उसने यह स्थिति प्रकाशित की है।
4. प्रमाण बंडल की अखंडता
प्रत्येक डिलीवरी के साथ एक फ़ाइल SHA256SUMS शामिल है जिसमें प्रदान की गई हर फ़ाइल के लिए SHA-256 डाइजेस्ट की सूची है, साथ ही एक अलग OpenPGP साइनचर SHA256SUMS.asc। साइनिंग कुंजी phishdestroy.io/.well-known/pgp-key.txt और keys.openpgp.org पर प्रकाशित है।
5. पंजीकरण के संबंध में
प्राधिकरण कोऑपरेशन की प्रकाशित जांचों से मिल सकता है और उन्हें कठोर, विरोधी और कभी-कभी व्यंग्यात्मक पा सकता है। वह प्रभाव सही है। कोऑपरेशन जानबूझकर उसी तरह लिखता है। वॉइवर वह तंत्र है जिसके द्वारा पदार्थ को पंजीकरण से अलग किया जा सकता है: प्राधिकरण उपयोगी चीजें ले सकता है, उसे अपनी आवाज़ में पुनर्बयन कर सकता है, और कोऑपरेशन की शैली के हर शब्द को त्याग सकता है। ऐसा करने से कुछ भी खोया नहीं जाता।
6. कोऑपरेशन क्या प्रदान कर रहा है
सूचना, शोध और अवलोकन। कुछ भी ऐसे निष्कर्ष के रूप में दावा नहीं किया जाता है जिसके लिए कोऑपरेशन का कोई अधिकार नहीं है। कोऑपरेशन कोई उपाय, कोई भुगतान, कोई मान्यता और अपने लिए कोई परिणाम नहीं चाहता है। यह केवल यह मांग करता है कि रेफरल में रखे गए प्रश्न Valve Corporation को उस शरीर द्वारा पूछे जाएं जिसके पास जवाब की मांग करने की शक्ति है।
समापन नोट — जो भी इसे आगे बढ़ा रहा है
हम उनका धन्यवाद करना चाहते हैं जो इस सामग्री को वहां तक ले जाते हैं जहां इसे जाना चाहिए। Valve के गहरे जेब हैं और Taylor Wessing घंटे के हिसाब से शुल्क लेता है। हमें पता है कि हम क्या कर रहे हैं। हमें पता है कि हम किसके बारे में लिख रहे हैं। हमें लेखकत्व की आवश्यकता नहीं है। हमें आकर्षण की आवश्यकता नहीं है। हमें जीत की आवश्यकता नहीं है। हमें किसी ऐसे व्यक्ति की आवश्यकता है जिसके पास वास्तविक प्राधिकरण हो Valve से उन प्रश्नों को पूछने के लिए जो पहले से ही इस रेफरल में बैठे हैं, जवाब की मांग करने की शक्ति के साथ। यही है। यही पूरा अनुरोध है।
PhishDestroy — सार्वजनिक जांच — सभी अधिकार मानवता को सौंपे गए · OFAC-क्षेत्र पहुंच: वर्जित