如何在不使用文字处理器打开的情况下解密我知道密码的 Word 文档?

信息安全 恶意软件 解密 办公室
2021-08-17 06:16:59

我收到了一个我认为很简单的问题,但事实证明它比我想象的要难。

我得到了一个恶意密码保护的 Word 文档,我想针对 IoC 进行分析。它是加密的,所以当我尝试使用 oledump 或类似工具对其进行分析时,我只能看到“DataSpaces/DataSpaceInfo/StrongEncryptionDataSpace”。

我知道密码,但我不想在文字处理器中打开它来删除密码。有谁知道我可以用来解密文档而无需在文字处理器中打开它的任何工具?

4个回答

这个解密受密码保护的 DOCX 文档,除了 Python 加密库https://github.com/nolze/ms-offcrypto-tool之外没有其他依赖项

这个 python 工具 ( https://github.com/herumi/msoffice ) 演示了如何命令行解密受密码保护的 Word 文档。

您还可以使用免费的密码破解工具(例如https://www.lifewire.com/free-word-password-recovery-tools-2626185)。

您甚至可以为此使用在线服务(例如http://www.decryptum.com/免费预览)。

但是对于您的受恶意软件感染的文档,我建议您使用带有沙箱的独立 PC 来打开 Word 文档。

Python 可能有一个 Office API。您可以在 Linux 虚拟机中执行此操作,同时在 firejail 中运行 Python。

如果你喜欢危险的生活。

其他答案解释了如何在 docx 文件的特殊情况下删除密码。恕我直言,仅仅回答根本问题是不够的:该文档包含什么内容,因为即使删除了密码,您仍然需要打开该文档才能阅读它。

无论如何,至少可以通过两种方式理解恶意 Word 文档:

  • 包含恶意宏的word文档
  • 针对某个版本的 Microsoft Word 中的漏洞的特制文件。

首先接受将导致一个相当简单的方法:只需将 word 配置为不处理任何宏,然后打开文件。

在第二次接受中,它确实取决于实际格式,但一般指导是:用不依赖 Word 代码的东西打开它例如,众所周知,LibreOffice 或 Oracle OpenOffice 能够处理 Microsoft Word 格式。由于它们不共享相同的代码库,因此针对 Microsoft Word 的漏洞利用不太可能影响它们 - 特别是,它们是忽略任何宏的好选择。

您也可以使用能够处理 Word 文档的库,但您首先应该想知道它们是否从头开始完全实现规范,或者它们是否依赖于 Microsoft 引擎的 COM 或 .NET 接口。在后一种情况下甚至不要尝试使用它们!