Advanced Office Password Recovery (AOPR)：一把能撬开旧文件箱的钢钎，但别指望它是万能钥匙

我上个月帮一位老会计恢复一份被遗忘密码的Excel报表，文件是2003年的.xls格式。她试了二十多个生日和纪念日，最后把希望寄托在“暴力破解”上。AOPR这类工具确实能派上用场——它用GPU并行计算，每秒能尝试上亿个密码组合，一个八位纯数字密码，理论上几分钟就能跑完。但前提是，你知道密码大概是什么形态。

AOPR不是魔法。它的核心逻辑分三种：暴力破解（穷举所有字符组合）、掩码攻击（你告诉它密码大概长什么样，比如“生日+姓名首字母”）、还有字典攻击（用常见密码库撞运气）。最聪明的是“混合攻击”——先用字典里的弱密码试，不行再按你给的掩码规则去拼。我见过最蠢的用法是有人拿它跑一个16位随机大小写字母加符号的密码，跑了三天三夜，进度条才走了0.4%。那纯属浪费电。

真正有价值的场景是遗留文件。现在的Office 365文件用AES-256加密，暴力破解几乎无解——除非密码本身太短太蠢。但老版的.doc和.xls用的是RC4或40位密钥，那防御脆得像纸糊的。我认识一个做数据恢复的老哥，他专接“公司倒闭了，老板留下的客户资料盘打不开”的活儿。他说AOPR对2010年前的Office文件，成功率能到七成，因为当年很多人设密码就爱用“123456”或者“password”。

工具本身用起来挺糙。界面丑得像2005年的共享软件，但功能分区清楚：攻击类型下拉菜单、字符集勾选框（大小写、数字、符号、空格全选上）、还有“自定义掩码”的输入框。最人性化的是它能实时显示“已尝试密码数”和“预计剩余时间”——这个时间经常从“2小时”跳成“3天”，看得人血压飙升。有一次我设了掩码“1990????”，结果它把“1990”后面四位所有组合跑了个遍，最后在“1990xr7m”上停住了——那是我高中时随手加的字母。

但别高兴太早。AOPR有个致命弱点：它对Office 2013以上的文件基本没戏。新版Office用SHA-512哈希加AES-256，算法复杂度翻了几百倍。我试过拿一张GTX 4090显卡跑一个2016年的.pptx，密码是“abc123”，结果跑了四十分钟才出来。要是密码长点，你不如直接打电话问当事人。还有，工具对中文密码支持一般——字符集里虽然能勾“Unicode”，但实际跑起来速度会慢一半，因为中文字符的组合空间太大了。

我的建议是：先用它处理老文件，特别是那些“记不清是哪个年份设的密码”的文档。操作时别贪心，先试字典攻击——很多人的密码逃不出那几万个常用词。如果不行，再上掩码攻击，比如你知道密码有8位，前四位是字母，后四位是数字，那就填“????####”这种格式。最后才轮到纯暴力，而且把字符集限制在“小写字母+数字”就好，别全选，否则时间成本翻倍。

说到底，AOPR是个实用工具，但它的存在本身也提醒你：密码这东西，设得越随意，破得越容易。我那个老会计最后用掩码攻击，半小时就找回了密码——是“1987”加她家狗的英文名。她笑着骂自己蠢，我却觉得，这工具的价值不在于“破解”，而在于帮人找回那些被时间锁住的旧记忆。至于那些加密得严严实实的新文件，不如直接设个简单密码，省得将来自己也打不开。