重装系统后破解windows自带的EFS加密知识.pdfVIP

重装系统后破解 windows 自带的 EFS 加密 老板电脑中病毒 , 无药可救 ,重装系统后才发觉他的 D 盘有部分文件无法打开使用 ,原因是老板竟 然给自己的文件用了 WINDOWS 自带的 EFS 加密了。哎，真是骑虎难下！万不得已，只得寻 找相关技术资料并试图解密 …… 首先我们先了解一下 “EFS加密原理 ”： 大家知道， EFS 加密实际上综合了对称加密和不对称加密： （1 ）随机生成一个文件加密密钥 ( 叫做 FEK) ，用来加密和解密文件。 （2 ）这个 FEK 会被当前帐户的公钥进行加密， 加密后的 FEK 副本保存在文件 $EFS 属性的 DDF 字段里。 （3 ）要想解密文件，首先必须用当前用户的私钥去解密 FEK ，然后用 FEK 去解密文件。 看到这里，似乎 EFS 的脉络已经很清晰，其实不然，这样还不足于确保 EFS 的安全性。系统还 会对 EFS 添加两层保护措施： 1 ）Windows 会用 64 字节的主密钥 (Master Key) 对私钥进行加密，加密后的私钥保存在 以下文件夹： %UserProfile%\Application Data\Microsoft\Crypto\RSA\SID 。提示 Windows 系统里 的各种私有密钥，都用相应的主密钥进行加密。 Windows Vista 的 BitLocker 加密，也用其主 密钥对 FVEK( 全卷加密密钥 ) 进行加密。 2 ）为了保护主密钥， 系统会对主密钥本身进行加密 ( 使用的密钥由帐户密码派生而来 ) ，加密 后的主密钥保存在以下文件 夹： %UserProfile%\Application Data\Microsoft\Protect\SID 。 通过上面简单的介绍，我们可以得到这个结论，就是我们如果要对 EFS 进行解密必须要一下满 足以下两点： （1 ）必须知道该被删帐户的密码：没有帐户密码，就无法解密主密钥。因为其加密密钥是由帐 户密码派生而来的。 （2 ）该被删帐户的配置文件必须存在：加密后的私钥和主密钥 ( 还包括证书和公钥 ) ，都保存在 配置文件里，所以配置文件万万不可丢失，否则就会彻底任务失败。 可能大家会想，只需新建一个同名的用户帐户， 然后把原来配置文件复制给新帐户，不就可以解 密 EFS 文件了？原因在于帐户的 SID ，因为新建用户的 SID 不可能和老帐户一样，所以常规方 法是不可能奏效的。我们必须另辟蹊径，让系统再造一个完全一样的 SID ！ 下面就看我的具体步骤： （1 ）重装系统之前备份了 Docum ent and Settings 目录，现在还真是庆幸啊，找出 Application Data\Microsoft\Protect\SID 。 （2 ）再造 SID ，首先确认帐户的 SID ，这里可以进入以下文件夹： 华港用户 \Application Data\Microsoft\Crypto\RSA 在其下应该有一个以该帐户的 SID 为名的文件 夹，例如是 S-1-5-21-1214440339-1078145449-1343024091-1004(RID 为 1004) 现 在我们要设法让新建帐户同样具有 1004 的 RID ，这样就能达到目的。 在 Windows 中，下一个新建帐户所分配的 RID 是由 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account 注册表项的 F 键值所确定的。 F 键 值是二进制类型的数据，在偏移量 0048 处的四个字节，定义下一个帐户的