Word加密与加密宏绕过技术深入解析<\/h1>

一、Word加密宏基础概念<\/h2>

1.1 什么是宏加密<\/h3>

当打开带有宏的Word\/Excel文档（如.docm\/.xlsm格式）并进入VBA编辑器时，如果作者设置了"VBA工程密码"，系统会弹出密码输入窗口。这种保护机制给用户的错觉是宏代码被完全加密，但实际上：<\/p>

宏代码大多仍然以原样存在于文件中<\/li>
密码保护主要目的是阻止在VBA编辑器中查看和编辑代码<\/li>

内容并未被真正加密到不可恢复的程度<\/li> <\/ul>

可以将此保护机制比喻为"给抽屉门贴禁止打开的封条"，虽然提示不能打开，但抽屉内的物品并未被锁死。<\/p>

1.2 docm文件结构分析<\/h3>

docm\/xlsm文件实质上是压缩包格式，只需修改文件后缀名为.zip即可查看内部结构。典型结构包含：<\/p>

word\/
_rels\/
[Content_Types].xml
<\/code><\/pre>
其中宏代码位于：word\/vbaProject.bin<\/code><\/p>
二、vbaProject.bin文件解析<\/h2>
2.1 文件格式特性<\/h3>
vbaProject.bin不是普通文本文件，而是采用OLE复合文档格式（可以理解为"文件中包含多个小文件"的结构），其中包含实际的宏代码内容。<\/p>
2.2 加密宏标识<\/h3>
在多数Office版本中，宏密码保护状态会在vbaProject.bin文件中通过特定标记标识：<\/p>

常见标记格式：DPB="xxxxxx"<\/code><\/li>
DPB标记表示"此VBA工程已添加密码保护"<\/li>
当Office检测到正常的DPB标记时，会触发密码输入弹窗<\/li>
如果标记异常或不存在，Office可能不会弹窗（实现绕过）<\/li>
<\/ul>
由于DPB是ASCII文本，可通过以下方式定位：<\/p>

文本编辑器搜索"DPB"<\/li>
十六进制编辑器搜索"44 50 42"（DPB的十六进制表示）<\/li>
<\/ul>
三、加密文件结构分析<\/h2>
加密的Word文档包含以下关键组件：<\/p>

EncryptedPackage<\/strong>：被加密的Word内容整体压缩包<\/li>
EncryptionInfo<\/strong>：加密说明书，存储加密算法、模式等信息<\/li>
DataSpaces<\/strong>：Office加密规范组成部分，描述内容与密钥的保护关系<\/li>
<\/ul>
四、绕过技术实战详解<\/h2>
4.1 解除Word文档密码保护<\/h3>
由于加密文件中不存在vbaProject.bin文件，首先需要解密EncryptedPackage获取真实的压缩包内容。<\/p>
使用msoffcrypto工具解密<\/h4>
import<\/span> msoffcrypto
<\/span><\/span>from<\/span> pathlib import<\/span> Path
<\/span><\/span>
<\/span><\/span># 定义输入输出文件路径<\/span>
<\/span><\/span>in_file =<\/span> Path("password.docm"<\/span>)
<\/span><\/span>out_file =<\/span> Path("decrypted.docm"<\/span>)
<\/span><\/span>
<\/span><\/span># 打开加密文件并解密<\/span>
<\/span><\/span>with<\/span> in_file.<\/span>open("rb"<\/span>) as<\/span> f:
<\/span><\/span>    office =<\/span> msoffcrypto.<\/span>OfficeFile(f)
<\/span><\/span>    office.<\/span>load_key(password=<\/span>"ulqsbt"<\/span>)  # 使用已知密码<\/span>
<\/span><\/span>    with<\/span> out_file.<\/span>open("wb"<\/span>) as<\/span> out:
<\/span><\/span>        office.<\/span>decrypt(out)
<\/span><\/span>
<\/span><\/span>print("解密完成 ->"<\/span>, out_file)
<\/span><\/span><\/code><\/pre>4.2 加密宏绕过方法<\/h3>
4.2.1 手动绕过技术<\/h4>

使用十六进制编辑器打开vbaProject.bin文件<\/li>
搜索"DPB"字符串或"44 50 42"十六进制值<\/li>
将DPB修改为其他值（如DPA）<\/li>
保存文件，使Office无法识别合法的DPB标记<\/li>
重新打包所有文件为ZIP格式并改回.docm后缀<\/li>
<\/ol>
4.2.2 自动化脚本绕过<\/h4>
安装必要工具<\/h5>
pip install oletools
<\/span><\/span><\/code><\/pre>使用olevba提取宏代码<\/h5>
olevba word\/vbaProject.bin
<\/span><\/span><\/code><\/pre>关键代码分析示例<\/h5>
t =<\/span> ChrW(21152) &<\/span> ChrW(27833) &<\/span> ChrW(21543) &<\/span> ChrW(65292) &<\/span> ChrW(21516) &<\/span> ChrW(23398) &<\/span> ChrW(20204) &<\/span> ChrW(65281)
<\/span><\/span>' t = "加油吧，同学们！"
<\/span><\/span><\/span><\/span>
<\/span><\/span>strusout =<\/span> Encode(strusrinput, t)
<\/span><\/span>
<\/span><\/span>If<\/span> (strusout =<\/span> "©È©Y¨¯q£ø~"<\/span>) Then<\/span>
<\/span><\/span>    strdec =<\/span> Decode(Dialog.Label_ls.Caption, sinput)
<\/span><\/span>ElseIf<\/span> (strusout =<\/span> "£ëGJE£ç£ñ"<\/span>) Then<\/span>
<\/span><\/span>    strdec =<\/span> Decode(Dialog.Label_ls1.Caption, sinput)
<\/span><\/span>ElseIf<\/span> (strusout =<\/span> "§À¦¯opz+"<\/span>) Then<\/span>
<\/span><\/span>    strdec =<\/span> Decode(Dialog.Label_ls2.Caption, sinput) ' <-- 8位口令对应这条
<\/span><\/span><\/span><\/span>ElseIf<\/span> (strusout =<\/span> "£ú¦ªjr§º¦Õ¦Å¤¢"<\/span>) Then<\/span>
<\/span><\/span>    strdec =<\/span> Decode(Dialog.Label_ls4.Caption, sinput)
<\/span><\/span>ElseIf<\/span> (strusout =<\/span> "¨¤¨µt£Õ£÷©Ë£è¨¨"<\/span>) Then<\/span>
<\/span><\/span>    strdec =<\/span> Decode(Dialog.Label_ls3.Caption, sinput)
<\/span><\/span>Else<\/span>
<\/span><\/span>    strdec =<\/span> "密码不正确,别泄气再来!"<\/span>
<\/span><\/span>End<\/span> If<\/span>
<\/span><\/span>
<\/span><\/span>Label_CLUE.Caption =<\/span> strdec
<\/span><\/span><\/code><\/pre>绕过策略<\/h5>
无需理解Encode()函数的加密逻辑，直接利用Decode()函数解密标签内容：<\/p>

修改代码使Label_CLUE.Caption直接显示Decode结果<\/li>
分别替换五个分支中的Dialog.Label_lsX.Caption<\/li>
在Word中运行AutoOpen宏，任意输入字符后点击确定<\/li>
观察Label控件显示的明文结果<\/li>
<\/ol>
通过此方法可获得以下密码：<\/p>

123456<\/li>
aaaaaa<\/li>
000000<\/li>
墙角数枝<\/li>
iloveyou<\/li>
<\/ul>
4.3 完整攻击流程实例<\/h3>


密码爆破阶段<\/strong><\/p>

使用office2john提取哈希：office2john password.docm > word.hash<\/code><\/li>
基于正则模式[a-z][a-z]q[a-z]b[a-z]<\/code>进行掩码攻击：<\/li>
<\/ul>
john --mask=<\/span>'?l?lq?lb?l'<\/span> word.hash
<\/span><\/span><\/code><\/pre>
获得文档密码：ulqsbt<\/li>
<\/ul>
<\/li>

宏分析阶段<\/strong><\/p>

解密文档获取vbaProject.bin文件<\/li>
分析宏代码逻辑，识别密码验证流程<\/li>
通过修改代码直接获取隐藏密码<\/li>
<\/ul>
<\/li>

最终flag获取<\/strong><\/p>

使用获得的密码"墙角数枝"解密RAR文件<\/li>
根据提示组合16位复杂口令：2zhlmcl,1hblsqt.<\/code><\/li>
最终获得flag：Dest0g3{VBScr1pt_And_Hashc4t_1s_g00d}<\/code><\/li>
<\/ul>
<\/li>
<\/ol>
五、安全防护建议<\/h2>

宏安全设置<\/strong>：在Office中禁用宏或设置为仅允许 digitally signed 的宏运行<\/li>
文件类型限制<\/strong>：阻止.docm、.xlsm等可执行宏的文件类型<\/li>
安全意识培训<\/strong>：教育用户不要随意启用未知来源的宏<\/li>
代码审查<\/strong>：定期检查企业文档中的宏代码安全性<\/li>
多层防御<\/strong>：结合终端防护软件检测恶意宏行为<\/li>
<\/ol>
六、总结<\/h2>
Word加密宏保护主要依赖于DPB标记触发密码验证界面，而非真正的代码加密。通过修改DPB标记或直接分析vbaProject.bin文件内容，可以绕过这种保护机制。安全团队需要了解这些技术原理，才能有效防御相关的恶意攻击。<\/p>

Word加密与加密宏绕过技术深入解析<\/h1>

一、Word加密宏基础概念<\/h2>

2.1 文件格式特性<\/h3> vbaProject.bin不是普通文本文件，而是采用OLE复合文档格式（可以理解为"文件中包含多个小文件"的结构），其中包含实际的宏代码内容。<\/p>

四、绕过技术实战详解<\/h2>

4.1 解除Word文档密码保护<\/h3> 由于加密文件中不存在vbaProject.bin文件，首先需要解密EncryptedPackage获取真实的压缩包内容。<\/p>

4.2 加密宏绕过方法<\/h3>

4.2.2 自动化脚本绕过<\/h4>

2.1 文件格式特性<\/h3>
vbaProject.bin不是普通文本文件，而是采用OLE复合文档格式（可以理解为"文件中包含多个小文件"的结构），其中包含实际的宏代码内容。<\/p>

4.1 解除Word文档密码保护<\/h3>
由于加密文件中不存在vbaProject.bin文件，首先需要解密EncryptedPackage获取真实的压缩包内容。<\/p>