Word2000的文件密码保护

前些天单位上让测试了一个密码保护的doc文件,已知密码长度为10位。
用azwr(好象是这么个名)试着穷举全10位数字，结果弄出来一个，但
只能以只读方式打开。拿去交帐，没想到原密码不一样，而且只读与
读写设的是同一个，是碰巧了。

干脆把word2000带密码保存的文件打开过程跟了一下，代码没带回来，
下面是凭记忆写的。

密码判断代码在MSO9.dll内。调用的函数大概是MsoFLoadCryptSesssion。
包括下面几步:

1. 从文件读出16 bytes值

2. 计算输入密码的md5值(unicode除去长度部分剩余的宽字符数据),得
   到MD5_1

3. 取MD5_1的前5 bytes,和前面的16 bytes合成21 bytes值,循环16次
   得到21*16 bytes数据,计算其md5得到MD5_2

4. 取MD5_2的前5 bytes,加上1个值为0的dword得到9 bytes值,计算其
   md5得到MD5_3

5. 用MD5_3作为key,执行RC4的初始置换

6. 从文件读出2个16 bytes值

7. 用RC4对这2个值解密

8. 计算第1个明文值的md5,如果与第2个明文值相等,则认为密码正确

9. 用RC4解密文件体,key的构造与4相似,只是使用0-7不等的dword取值

判断密码是否正确时,在第4步中使用的9 bytes中后4 bytes固定为0,在
OD中用带密码存储的文件测试了一下,只要在第4步把使用的前5 bytes
换成正确值,即可正确打开文件。

写了个程序穷举5 bytes,找出可通过检测的值。穷举空间为
2^40 约100亿次,在我P3 800的机器上试了试，需要500天 :-(

不过把程序优化优化，分段到多台机器上还是有望搞出结果。
另外,这样做需要的时间与密码长度无关。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)