Récupération de mots de passe de documents Office

Déverrouiller des documents professionnels protégés par mot de passe

Ce que vous allez découvrir

🎯 Pourquoi c'est important

Le cassage de mots de passe de documents Microsoft Office représente l'un des défis les plus fréquemment rencontrés en test d'intrusion et en forensique numérique. Les organisations protègent régulièrement des tableurs sensibles, présentations et documents avec des mots de passe, croyant que cela fournit une sécurité adéquate. Lors d'évaluations de sécurité, les pentesters découvrent régulièrement des fichiers Office protégés par mot de passe contenant des informations commerciales critiques, des schémas de réseau, des listes de mots de passe et des données confidentielles. Comprendre comment casser les mots de passe de documents Office permet aux professionnels de la sécurité d'évaluer l'efficacité réelle des politiques de protection des documents et de démontrer les vecteurs d'attaque du monde réel que les adversaires exploitent pour accéder aux informations d'entreprise protégées.

🔍 Ce que vous allez apprendre

Vous maîtriserez les outils professionnels de cassage de mots de passe Office incluant office2john, hashcat et John the Ripper, comprendrez les différences critiques entre le chiffrement Office 97-2003 hérité et le chiffrement Office 2007+ moderne, et apprendrez à extraire et casser les mots de passe des fichiers Word (.doc, .docx), Excel (.xls, .xlsx) et PowerPoint (.ppt, .pptx). Ces techniques sont essentielles pour les scénarios de test d'intrusion où les documents protégés contiennent des identifiants réseau, les investigations forensiques nécessitant l'accès à des preuves chiffrées, et les évaluations de sécurité des pratiques de protection des documents organisationnels.

🚀 Votre première victoire

Dans les 15 prochaines minutes, vous extrairez des hachages de mots de passe de documents Office protégés, comprendrez pourquoi les fichiers Office hérités se cassent dramatiquement plus vite que les modernes, et récupérerez des mots de passe en utilisant des outils de sécurité professionnels.

🔧 Essayez maintenant

Créons un document Word protégé par mot de passe et extrayons son hachage pour comprendre le flux de travail complet :

# Installer John the Ripper (inclut office2john)
# Ubuntu/Debian
sudo apt update && sudo apt install john

# macOS avec Homebrew
brew install john-jumbo

# Vérifier que office2john est disponible
which office2john

# Pour cette démo, créez un document Word protégé par mot de passe :
# 1. Ouvrez Microsoft Word
# 2. Créez un document simple avec le texte : "HackerDNA Test Document"
# 3. Enregistrer sous → Outils → Options générales → Mot de passe pour ouvrir : "test123"
# 4. Enregistrer sous : protected_document.docx

# Extraire le hachage du document Office protégé
office2john protected_document.docx > office_hash.txt

# Afficher le format du hachage extrait
cat office_hash.txt

# Le format du hachage révèle la version Office et le type de chiffrement
# Office moderne (2007+) : $office$*2007*... (chiffrement AES fort)
# Office hérité (97-2003) : $oldoffice$... (chiffrement RC4 faible)

# Casser le mot de passe avec John the Ripper
john --wordlist=/usr/share/wordlists/rockyou.txt office_hash.txt

# Afficher le mot de passe cassé
john --show office_hash.txt

Vous verrez : Le format du hachage vous indique immédiatement s'il s'agit d'un document Office hérité (rapide à casser) ou d'un document Office moderne (beaucoup plus lent). Le mot de passe "test123" sera cassé rapidement depuis rockyou.txt, démontrant pourquoi les mots de passe faibles ne fournissent aucune protection réelle quelle que soit la force du chiffrement.

Compétences que vous maîtriserez

Comprendre le chiffrement des documents Office

Le chiffrement des documents Microsoft Office a subi une transformation dramatique à travers les versions, créant une fracture de sécurité critique entre les fichiers hérités et modernes. Les documents Office 97-2003 utilisaient un chiffrement propriétaire basé sur RC4 avec des clés faibles de 40 bits, les rendant extrêmement vulnérables aux attaques de cassage de mots de passe. Office 2007 a introduit une refonte fondamentale avec un chiffrement AES-128 et une dérivation de clé appropriée, tandis qu'Office 2010+ a amélioré cela davantage avec AES-256 et des comptes d'itération accrus. Comprendre ces méthodes de chiffrement est essentiel pour évaluer la sécurité réelle des documents protégés par mot de passe et estimer la faisabilité des attaques.

Les évaluateurs de sécurité professionnels comprennent que la version Office impacte dramatiquement la faisabilité du cassage. La documentation des fournisseurs cryptographiques Microsoft Office détaille les spécifications de chiffrement, mais la plupart des utilisateurs ignorent que l'enregistrement de fichiers dans des formats Office hérités compromet complètement la protection par mot de passe quelle que soit la force du mot de passe. Les documents Office 97-2003 hérités utilisent une clé RC4 de 40 bits avec une vérification de mot de passe faible, permettant aux attaquants de tester des millions de mots de passe par seconde sur des GPU modernes.

L'implémentation technique varie significativement selon les versions Office. Office 97-2003 utilise une méthode de vérification de mot de passe propriétaire où un hachage du mot de passe est stocké directement, permettant un test rapide des mots de passe. Office 2007+ implémente une dérivation de clé basée sur le mot de passe appropriée utilisant PBKDF2 avec SHA-1 (2007-2010) ou SHA-512 (2013+), appliquant 50 000 à 100 000 itérations. Bien que cela améliore dramatiquement la sécurité par rapport aux formats hérités, les mots de passe faibles restent vulnérables aux attaques par dictionnaire et hybrides. Le compte d'itération ralentit le cassage mais ne peut pas compenser les mauvais choix de mots de passe.

Outils et techniques

🔨 office2john : extraction professionnelle de hachages

L'outil office2john, partie de la suite John the Ripper, extrait les hachages de mots de passe des documents Microsoft Office dans un format optimisé pour le cassage de mots de passe. Cet utilitaire gère les fichiers Word (.doc, .docx), Excel (.xls, .xlsx) et PowerPoint (.ppt, .pptx), détectant automatiquement la version Office et la méthode de chiffrement pour extraire les données cryptographiques appropriées.

# Installer John the Ripper avec office2john
# Ubuntu/Debian
sudo apt update && sudo apt install john

# macOS (Homebrew - utilisez la version jumbo pour office2john)
brew install john-jumbo

# Fedora/RHEL
sudo dnf install john

# Extraire le hachage d'un seul document Office
office2john document.docx > office_hash.txt

# Extraction par lots de plusieurs documents
for doc in *.docx *.xlsx *.pptx; do
    [ -f "$doc" ] && office2john "$doc" >> all_office_hashes.txt
done

# Examiner le format du hachage extrait
cat office_hash.txt

# Le format du hachage révèle la version Office et le chiffrement :
# Office hérité : document.doc:$oldoffice$1*hash_data...
# Office 2007 :   document.docx:$office$*2007*20*128*16*...
# Office 2010 :   document.docx:$office$*2010*100000*128*16*...
# Office 2013 :   document.docx:$office$*2013*100000*256*16*...

# Extraction de mot de passe de macro VBA (type de hachage différent)
office2john --vba macros.xlsm > vba_hash.txt

Le format du hachage extrait fournit des renseignements critiques sur la faisabilité de l'attaque. Le préfixe $oldoffice$ indique des documents Office 97-2003 hérités avec un chiffrement RC4 faible, tandis que $office$ désigne l'Office 2007+ moderne avec chiffrement AES. Les nombres suivants indiquent la version spécifique, le compte d'itération et la longueur de clé, permettant la sélection de stratégies de cassage appropriées.

⚡ Attaques Office avec John the Ripper

John the Ripper fournit un cassage complet de mots de passe Office avec détection automatique du format et stratégies d'attaque optimisées. Il excelle dans le cassage des documents Office hérités et performe bien sur les fichiers Office modernes lorsqu'il est combiné avec des listes de mots ciblées.

# Attaque par dictionnaire sur documents Office
john --wordlist=/usr/share/wordlists/rockyou.txt office_hash.txt

# Attaque basée sur des règles avec mutations de mots de passe
john --rules --wordlist=/usr/share/wordlists/rockyou.txt office_hash.txt

# Afficher les mots de passe cassés
john --show office_hash.txt

# Mode incrémental (force brute) - efficace pour Office hérité
john --incremental office_hash.txt

# Règles personnalisées pour documents Office d'entreprise
echo '[List.Rules:OfficeRules]' > office.conf
echo 'cAz"2024"' >> office.conf  # Majuscule + année
echo 'cAz"!"' >> office.conf      # Majuscule + exclamation
echo 'Az"[0-9][0-9]"' >> office.conf  # Ajouter deux chiffres

john --rules=OfficeRules --wordlist=corporate.txt office_hash.txt

# Gestion de session pour les attaques longues
john --session=hdna_office office_hash.txt
john --restore=hdna_office  # Reprendre une session interrompue

# Attaques spécifiques au format
john --format=office office_hash.txt  # Office moderne
john --format=oldoffice office_hash.txt  # Office hérité

La détection automatique du format de John the Ripper simplifie le flux de travail, mais spécifier le format exact peut améliorer les performances. Les documents Office hérités se cassent extrêmement rapidement - même les mots de passe complexes peuvent tomber en quelques minutes. Les documents Office 2013+ modernes avec des mots de passe forts peuvent résister au cassage indéfiniment, rendant le succès de l'attaque entièrement dépendant de la qualité du mot de passe.

🚀 Cassage de mots de passe Office avec Hashcat

Hashcat fournit un cassage de mots de passe Office accéléré par GPU avec des modes spécialisés pour différentes versions Office. Cela en fait l'option la plus rapide pour casser des documents Office, particulièrement les formats hérités qui peuvent être attaqués à des milliards de tentatives par seconde.

# Modes Hashcat pour documents Office
# Mode 9400 :  Office 2007 (AES-128, SHA-1, 50000 itérations)
# Mode 9500 :  Office 2010 (AES-128, SHA-1, 100000 itérations)
# Mode 9600 :  Office 2013 (AES-256, SHA-512, 100000 itérations)
# Mode 9700 :  MS Office <= 2003 MD5 + RC4, oldoffice$0
# Mode 9710 :  MS Office <= 2003 MD5 + RC4, oldoffice$1
# Mode 9800 :  MS Office <= 2003 SHA1 + RC4, oldoffice$3
# Mode 9810 :  MS Office <= 2003 SHA1 + RC4, oldoffice$4

# D'abord, identifier le mode correct depuis la sortie office2john
cat office_hash.txt
# Rechercher : $office$*2013* = mode 9600
#             $oldoffice$1* = mode 9710

# Attaque par dictionnaire contre document Office 2013
hashcat -m 9600 -a 0 office_hash.txt rockyou.txt

# Office 97-2003 hérité (extrêmement rapide)
hashcat -m 9710 -a 0 office_hash.txt rockyou.txt

# Attaque par masque pour modèles de mots de passe connus
# Exemple : Majuscule + 6 minuscules + 2 chiffres
hashcat -m 9600 -a 3 office_hash.txt '?u?l?l?l?l?l?l?d?d'

# Attaque hybride : liste de mots + nombres
hashcat -m 9600 -a 6 office_hash.txt corporate.txt '?d?d?d?d'

# Attaque par combinaison : deux listes de mots
hashcat -m 9600 -a 1 office_hash.txt wordlist1.txt wordlist2.txt

# Attaque basée sur des règles avec règles personnalisées
hashcat -m 9600 -a 0 office_hash.txt rockyou.txt -r rules/best64.rule

# Réglage de charge de travail pour optimisation GPU
hashcat -m 9600 -a 0 office_hash.txt rockyou.txt -w 3  # Charge élevée

L'accélération GPU fournit des améliorations de performance dramatiques pour le cassage de mots de passe Office. Les documents Office hérités peuvent être cassés à des vitesses dépassant 100 millions de tentatives par seconde sur des GPU haut de gamme, rendant même les mots de passe complexes vulnérables en quelques heures. Les documents Office 2013+ modernes sont significativement plus lents en raison de PBKDF2 avec 100 000 itérations, réduisant les vitesses à des milliers ou dizaines de milliers de tentatives par seconde, rendant les mots de passe forts pratiquement incassables.

🎯 Techniques d'attaque Office spécialisées

Au-delà des attaques standard par dictionnaire et force brute, les évaluateurs professionnels emploient des techniques spécialisées adaptées aux caractéristiques des documents Office et aux modèles de mots de passe d'entreprise.

# Cassage de mot de passe de macro VBA (séparé du mot de passe du document)
# Extraire le hachage VBA
office2john --vba protected_macros.xlsm > vba_hash.txt

# Casser le mot de passe VBA (généralement plus faible que le mot de passe du document)
john --wordlist=rockyou.txt vba_hash.txt

# Collecte de renseignements sur les mots de passe d'entreprise
# Créer une liste de mots personnalisée à partir des informations de l'entreprise
# Nom de l'entreprise, produits, départements, phrases communes
echo "CompanyName2024" > corporate_passwords.txt
echo "Q1Financial2024" >> corporate_passwords.txt
echo "Budget2024" >> corporate_passwords.txt

# Analyse des métadonnées pour indices de mot de passe
# Vérifier les propriétés du document et les informations sur l'auteur
exiftool document.docx
strings document.docx | grep -i password

# Traitement par lots pour plusieurs documents
#!/bin/bash
for doc in *.docx; do
    echo "Traitement : $doc"
    office2john "$doc" > "${doc}.hash"
    john --wordlist=rockyou.txt "${doc}.hash"
done

# Vérifier tous les résultats
john --show *.hash

# Conversion de format pour différents outils
# Parfois besoin de masser le format du hachage entre les outils
# La sortie office2john peut être utilisée directement avec john
# Pour hashcat, peut nécessiter de légers ajustements de format

Les évaluations de sécurité professionnelles révèlent souvent que les mots de passe de macros VBA sont significativement plus faibles que les mots de passe de documents, car les utilisateurs les considèrent comme moins critiques pour la sécurité. De plus, les organisations utilisent fréquemment des modèles de mots de passe prévisibles basés sur les noms d'entreprise, les trimestres fiscaux, les noms de projets ou les identifiants de département, rendant les listes de mots personnalisées très efficaces lors des tests d'intrusion en entreprise.

Contre-mesures défensives

🛡️ Application des formats Office modernes

Les organisations doivent interdire les formats Office 97-2003 hérités et imposer les formats Office 2013+ modernes pour tous les documents protégés par mot de passe. Le guide de configuration de sécurité Microsoft Office fournit des recommandations détaillées pour appliquer les normes de chiffrement modernes dans toute l'organisation.

• Politiques de restriction de format : Bloquer l'enregistrement de documents dans les formats Office 97-2003 via la stratégie de groupe
• Application des normes de chiffrement : Exiger Office 2016+ avec AES-256 pour les documents sensibles
• Analyse des documents hérités : Détection et conversion automatisées des fichiers au format ancien
• Formation des utilisateurs : Formation sur les différences de chiffrement entre les versions Office

🔐 Politiques de mots de passe pour documents

Une protection efficace des documents nécessite des politiques de mots de passe spécifiquement conçues pour le chiffrement au niveau des fichiers. Les mots de passe des documents Office devraient supposer que le fichier chiffré peut être obtenu par des attaquants et soumis à des tentatives de cassage hors ligne avec des ressources illimitées.

• Exigences de haute complexité : Minimum 16 caractères avec des types de caractères mixtes
• Interdiction des termes d'entreprise : Bannir les noms d'entreprise, codes de projet, noms de département, trimestres fiscaux
• Mots de passe uniques par document : Ne jamais réutiliser les mots de passe sur plusieurs documents ou comptes
• Partage de mot de passe hors bande : Transmettre les mots de passe par des canaux séparés des documents

⚡ Gestion des droits d'information d'entreprise

Pour les documents d'entreprise sensibles, la protection par mot de passe représente une approche obsolète. Les organisations devraient implémenter des solutions de gestion des droits d'information (IRM) qui fournissent une sécurité supérieure, un audit et un contrôle d'accès comparés aux fichiers protégés par mot de passe.

• Azure Information Protection : Gestion des droits basée sur le cloud de Microsoft avec protection persistante
• Contrôles d'accès aux documents : Permissions granulaires (visualiser, éditer, imprimer, transférer) liées à l'identité de l'utilisateur
• Capacités de révocation : Possibilité de révoquer l'accès aux documents même après distribution
• Journalisation d'audit : Suivi complet de l'accès aux documents, modifications et partages

🔍 Prévention des pertes de données et surveillance

Les organisations devraient implémenter des systèmes de surveillance pour détecter la création suspecte de documents Office, les modèles de protection par mot de passe et les tentatives potentielles d'exfiltration de données. Les systèmes de prévention des pertes de données (DLP) peuvent identifier les documents protégés par mot de passe dans le trafic réseau et empêcher le transfert non autorisé de données.

• Intégration DLP : Détecter et analyser la transmission de documents Office protégés par mot de passe
• Analyse de sécurité des emails : Analyse automatisée des pièces jointes protégées par mot de passe pour violations de politique
• Surveillance des endpoints : Suivre l'activité de protection par mot de passe des documents Office et signaler les anomalies
• Sensibilisation à la sécurité : Formation régulière sur les pratiques appropriées de protection et de partage des documents

FAQ

Bases du cassage de mots de passe Office

Implémentation technique

Applications pratiques

🎯 Vous maîtrisez le cassage de mots de passe de documents Office !

Vous comprenez maintenant comment extraire et casser les mots de passe de documents Microsoft Office, pouvez identifier la force du chiffrement à partir des formats de hachage, et connaissez les différences critiques entre le chiffrement Office 97-2003 hérité (faible) et Office 2013+ moderne (fort). Ces compétences sont essentielles pour les tests d'intrusion, la forensique numérique, la réponse aux incidents et les évaluations de sécurité impliquant des documents professionnels protégés par mot de passe.

Prêt à explorer les techniques de cassage de mots de passe de réseaux sans fil