Que algoritmo é utilizado para produzir a chave de senha de 32 bits em um documento do Microsoft Office protegido (especificamente word)?

Question

Se você salvar um documento do Word legado (.doc era) com proteção de edição, poderá localizar a chave de senha armazenada no arquivo.

Para facilitar, isso pode ser encontrado salvando em um arquivo .xml ou .html e inspecionando a fonte de texto (mas você também pode retirá-lo do original .doc com um editor hexadecimal). Por exemplo, com a senha "password", você encontrará o seguinte na fonte:

<w:documentProtection w:edit="forms" w:enforcement="on" w:unprotectPassword="147A83AF"/>

Qual algoritmo é usado para produzir essa chave, que parece ser um hexadecimal de 32 bits?

    

Answer 1

Não consigo reproduzir essa saída com uma instalação atual do Office. Pelo menos esse valor deve representar "senha" de acordo com este .

Considerando essas fontes:

• PenTestCorner - Cracking Microsoft Office (97- 03, 2007, 2010, 2013) hashes de senha com o Hashcat
• InfoSecVer - Protegendo documentos do Word, Excel e PowerPoint protegidos por senha

Parece que essas versões mais antigas estão usando uma combinação de hashing e criptografia. Parece que você precisa verificar um pouco mais sobre o arquivo para descobrir que tipo de combinação está realmente usando.

InfoSecSee tem uma boa imagem em relação a isso:

IstoparececombinarcomalistadoPenTestCorner:

• Office97-03(MD5+RC4,oldoffice$0,oldoffice$1):sinalizar-m9700
• Office97-03(MD5+RC4,modocolisor#1):flag-m9710
• Office97-03(MD5+RC4,mododecolisão#2):flag-m9720
• Office97-03(SHA1+RC4,oldoffice$3,oldoffice$4):sinalizar-m9800
• Office97-03(SHA1+RC4,modocolisor#1):flag-m9810
• Office97-03(SHA1+RC4,mododecolisão#2):flag-m9820
• Office2007:sinalizador-m9400
• Office2010:sinalizador-m9500
• Office2013:sinalizador-m9600

Vocêprecisaverificarosdetalhesdecomoo"Office2John" ou o hashcat é implementado para descobrir como determinar qual algoritmo é usado, etc.