Yoo趣儿

Yoo趣儿 › 操作系统 › Windows › 逆向小白意外获得word文档保护密码一键解除方法 ...

逆向小白意外获得word文档保护密码一键解除方法

查看 100|回复 10
作者：cnwjl   
本人工作单位的OA系统会给OA文件（word文档格式）设置为限制编辑，以前查看网页源码，在JS代码中能找到保护密码，所有的文件都是一个密码，但是前几个月系统升级以后，密码就改了，网页源码里再也找不到密码了。起草文件免不了引用（ COPY）上级文件，。尽管知道网上有解决方案，就是把docx文档修改为xml文档的方法，但这样做还是多有不便，我想找更简便的方法，即通过调试软件找到OA文件保护密码。于是用OD调试XXX软件（某国产文字处理系统）。给win32api ShowWindow下 断点，点击停止保护按钮，随便输入一个密码点击确定，然后在OD中按F7键一路跟随。花了好几天的业余时间都没有找到真正的密码，看来word文档内没有通过明文保存密码，XXX软件判断用户输入的密码是否正确时也没有按明文比较。今天用IDA做静态分析时，发现“Unprotect”这个字符串，猜想它的上下文代码可能是解除保护的过程。于是尝试改变最近一条跳转指令的走向看看。
将 6DF61004 处的  cmp    [esi+5Ch], ebx    改为cmp ebx,ebx   
执行完，果然文件内容可以编辑、复制了。但过一会发现，只对doc文件有效，对docx文件无效，于是如法炮制，把6DF61009 处的 cmp     [esi+0B0h], ebx   也改为cmp ebx,ebx ，这样做后docx文件也能解除保护了。
改动代码保存到dll文件后，打开限制编辑的文件，点击停止保护按钮，XXX软件不再弹出输入密码窗口，文档直接变成不保护模式。


1.png (49.95 KB, 下载次数: 0)
下载附件
2025-8-16 21:29 上传



2.png (42.44 KB, 下载次数: 0)
下载附件
2025-8-16 21:41 上传

密码, 文件

相关帖子

luckydat   

呵呵，没想到居然还有这么多朋友受到同样的困扰，这里提供俺自己用的两个方法：
方法一：
1、更改文件扩展名：将 docx 文件重命名为 .zip（例如，从“file.docx”改为“file.zip”）。Docx 文件本质上是一个压缩文件。使用解压工具（如 WinRAR、7-Zip 或 Windows 自带的解压功能）解压该 zip 文件。在解压后的文件夹中，找到 word/document.xml 文件，这是包含文档主要内容的 XML 文件。
2、用文本编辑器（如 Notepad++、VS Code 或普通记事本）打开 document.xml。搜索文本内容（通常在  标签之间），手动复制需要的文本；或者，将 XML 文件另存为纯文本文件，手工清理格式后提取内容。
方法二：
1、打开 Google Drive，上传受保护的 docx 文件。用 Google Docs 打开该文件（右键 > 使用 Google 文档打开）。
　此时你会发现可以复制内容了，因为Google Docs 通常会忽略 Word 的只读保护，允许你直接选中并复制文档内容。
2、保存为新文档（可选）：在 Google Docs 中另存为新的 docx 文件，可能会移除保护。
特别强调：重要的事情说三遍
注意！如果文件是涉密的或者是涉及公司商业秘密的，不要上传，会触犯法律！
[color=]注意！如果文件是涉密的或者是涉及公司商业秘密的，不要上传，会触犯法律！
[color=]注意！如果文件是涉密的或者是涉及公司商业秘密的，不要上传，会触犯法律！
w2010d   


mhfymn 发表于 2025-8-18 10:04
只能找到5A62C6A9，网上说把这句删除保存，看不出明文密码是啥
5A62C6A9是十六进制的，转换一下就行了，十进制数字是1516422825
BrutusScipio   

网页OA系统都是一坨
cnwjl
OP
  


BrutusScipio 发表于 2025-8-17 21:44
网页OA系统都是一坨
同时有手机APP端，手机上能阅读和填写处理意见，不能发文件。
jori   

另一种思路值得学习，工作中经常会遇到
mhfymn   

请问“查看网页源码，在JS代码中能找到保护密码”，这一步怎么操作？我们也是一个密码，我想试试
mjh760922   

帮助我解决了不少难题，多谢多谢
w2010d   


mhfymn 发表于 2025-8-18 08:47
请问“查看网页源码，在JS代码中能找到保护密码”，这一步怎么操作？我们也是一个密码，我想试试
F12或者ctrl+u查看源码，翻js文件里面关键词
mhfymn   


w2010d 发表于 2025-8-18 10:00
F12或者ctrl+u查看源码，翻js文件里面关键词
只能找到5A62C6A9，网上说把这句删除保存，看不出明文密码是啥
下一页 »
12下一页
返回列表
您需要登录后才可以回帖 登录 | 立即注册

AD1

热门主题

热门板块

问与答分享发现分享创造奇思妙想分享邀请码商业推广优惠信息PythonPHPJavaJavaScriptNode.jsGo语言C++HTML

公告

标签|小黑屋|Yoo趣儿

GMT+8, 2025-9-20 03:56 , Processed in 0.129992 second(s), 13 queries , Gzip On, MemCached On.

Powered by Discuz! X3.2

The happiest thing in the world is to strive for an ideal.

返回顶部