Come Recuperare password Documenti Office Excel Word

Un file generato da Microsoft office protetto/bloccato da password dispone di una protezione molto efficace e la specifica tecnica di questo tipo di protezione prevede che il contenuto sia completamente criptato.

Per poter ritrovare la password perduta esistono dei metodi basati su brute force, eventualmente associati ad una sequenza di caratteri conosciuta per migliorare le prestazioni, dopo aver estratto l'hash della password impostata presente nel file office.

Come Funziona la protezione password nei file office.

Analogamente a qualsiasi tipo di encryption nel file bloccato da password viene resa disponibile una area metadati contenente un hash.

Inserendo la password del documento, viene applicato l'algoritmo di reiterazione specifico e confrontato con l'hash presente nei metadati.

Se l'hash è corretto viene sbloccata la chiave per la decifratura del file.  

Come estrarre l'hash della password presente nel file office

Per poter estrarre l'hash dal un documento office, word excel o powerpoint è necessario utilizzare degli script specifici in python come  office2hashcat.py

Eseguire la pull del repository presente su

https://github.com/isaudits/scripts/tree/master

Esempio:

python office2hashcat.py documento.docx

$office$*2013*100000*256*16*b5720b33bd11e3eb9ac4135419746070*4ba62e4278988adc83c0c0a254aa46d6*426a971e948ea8be004d3942f07ccaee35191855f2280e261a30bd9e1915c108

L'hash contiente degli indicatori sull'algoritmo da utilizzare per eseguire il crack della password del documento office.

Come eseguire il brute force dell'hash

Per poter trovare la password dimenticata del documento, è necessario "tentare" tutte le combinazioni possibili basandoci su un dizionario, un pattern ( se una parte della password è nota ) o il brute force.

Essendo il brute force legato agli alfabeti da utilizzare ( esempio password completamente numerica o con caratteri minuscoli ) è possibile iniziare i test con una sequenza semplice per poi aumentare la complessità.

Utilizzo di Cuda Hashcat

Hashcat è certamente il sistema più famoso per eseguire il crack della password perduta, e utilizzandolo con schede GPU in parallelo consente risultati incredibili. Impensabile un attacco basato su CPU a meno che la password non sia realmente semplicissima.

Hashcat supporta diverse tipologie di hash per file office.

Ovviamente tanto più la versione utilizzata è recente, tanto più complessa sarà l reiterazione necessaria ed il tempo di elaborazione.

700 | MS Office <= 2003 $0/$1, MD5 + RC4             
9710 | MS Office <= 2003 $0/$1, MD5 + RC4, collider #1 
9720 | MS Office <= 2003 $0/$1, MD5 + RC4, collider #2  
9800 | MS Office <= 2003 $3/$4, SHA1 + RC4             
9810 | MS Office <= 2003 $3, SHA1 + RC4, collider #1    
9820 | MS Office <= 2003 $3, SHA1 + RC4, collider #2    
9400 | MS Office 2007                                  
9500 | MS Office 2010                                 
9600 | MS Office 2013          

Esempio di brute force di una password numerica sconosciuta

hascat -a 3 hashfile --increment -1 ?d?d?d?d?d?d

In questo comando istruiamo hashcat di utilizzare un metodo brute force con lunghezza password crescente composta esclusivamente da numeri.

Perfomance Recupero Password documenti Office

Il tempo necessario per il recupero di una password perduta di un documento office è molto variabile e dipende dal tipo di algoritmo utilizzato nel documento, la tipologia di GPU, il RIG da quante unità è composto e naturalmente dalla complessita della password.

Per una password numerica di 8 cifre con un RIG da 8 GPU ATI SAPPHIRE il tempo di elaborazione è inferiore a 60 minuti.