EFS解密----未重装系统

Posted beiwenwoshishui

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了EFS解密----未重装系统相关的知识,希望对你有一定的参考价值。

一种方法、(手动删除私钥测试通过)

利用软件advanced efs data recovery 

二种方法、

前提:
在系统未重装或私钥未丢失。

两个软件:
PsExec和  IceSword。前者是国外非常流行的远程控制软件,命令行界面。后者则是PJF制作的国内著名隐藏进程察看软件冰刃。

本方法适用条件:
1. 需要足够运行上述两个软件的权限(如果可以结合net user命令的话应该不难,这只是一个小提示,读者还请自律^_^)。
2. 系统内还有该EFS加密文件对应的密钥(这一条件是基于我的初步推测)

本方法成功的原因浅析:
1. 利用了system帐户特有的内核级权限,这可能是能够读取管理员或其他正常用户密钥的条件。
2. IceSword特有的读取加密文件的技术。

我构造的试验环境是在Windows XP Pro SP2系统中的一块NTFS磁盘上建立一个test文件夹,启用EFS加密。文件夹中是一个加密过的文本文件1.txt。现在我先用另一个帐户去尝试读取这个文件,然后在第二个系统中(相当于重装系统没有证书的情况)再次尝试读取这个文件。

第一步,启用我系统中的GUEST帐户。
此时从资源管理器中是不能访问test文件夹的。
打开cmd,在任务管理器中终止explorer.exe进程,打开PsExec尝试用system登录。
失败。提示进程无法创建。看来权限不够。
回到管理员帐户,新建一个管理员帐户test并以之登录。
在test帐户中运行资源管理器可以访问test文件夹,但是不能打开1.txt加密文件。
打开cmd,在任务管理器中终止explorer.exe进程,打开PsExec尝试用system登录。此时打开文件为乱码!
运行IceSword.exe,在 文件 中定位test文件夹。右键选择1.txt,复制到桌面,文件名任意,后缀不变。
双击打开文件,正常读出!第一步破解EFS成功!

第二步,登陆Windows Server 2003 SP1系统(管理员身份)。
使用上述方法再次复制1.txt到桌面,打开后出现乱码,和system读取时情况一致。第二种尝试失败。

以上是关于EFS解密----未重装系统的主要内容,如果未能解决你的问题,请参考以下文章

关于win7文件夹EFS加密后重装系统的处理方式

系统重装之后加密文件夹如何解密?

Windows系统EFS加密/解密原理介绍

电脑文件密码怎么解锁

分析针对EFS加密文件无法打开的情况数据恢复的解决方式

技术共享微软的EFS加密 终于可以解密了~