EFS解密----未重装系统
Posted beiwenwoshishui
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了EFS解密----未重装系统相关的知识,希望对你有一定的参考价值。
一种方法、(手动删除私钥测试通过)
利用软件advanced efs data recovery
二种方法、
前提:
在系统未重装或私钥未丢失。
两个软件:
PsExec和 IceSword。前者是国外非常流行的远程控制软件,命令行界面。后者则是PJF制作的国内著名隐藏进程察看软件冰刃。
本方法适用条件:
1. 需要足够运行上述两个软件的权限(如果可以结合net user命令的话应该不难,这只是一个小提示,读者还请自律^_^)。
2.
系统内还有该EFS加密文件对应的密钥(这一条件是基于我的初步推测)
本方法成功的原因浅析:
1.
利用了system帐户特有的内核级权限,这可能是能够读取管理员或其他正常用户密钥的条件。
2.
IceSword特有的读取加密文件的技术。
我构造的试验环境是在Windows XP Pro SP2系统中的一块NTFS磁盘上建立一个test文件夹,启用EFS加密。文件夹中是一个加密过的文本文件1.txt。现在我先用另一个帐户去尝试读取这个文件,然后在第二个系统中(相当于重装系统没有证书的情况)再次尝试读取这个文件。
第一步,启用我系统中的GUEST帐户。
此时从资源管理器中是不能访问test文件夹的。
打开cmd,在任务管理器中终止explorer.exe进程,打开PsExec尝试用system登录。
失败。提示进程无法创建。看来权限不够。
回到管理员帐户,新建一个管理员帐户test并以之登录。
在test帐户中运行资源管理器可以访问test文件夹,但是不能打开1.txt加密文件。
打开cmd,在任务管理器中终止explorer.exe进程,打开PsExec尝试用system登录。此时打开文件为乱码!
运行IceSword.exe,在 文件
中定位test文件夹。右键选择1.txt,复制到桌面,文件名任意,后缀不变。
双击打开文件,正常读出!第一步破解EFS成功!
第二步,登陆Windows Server 2003 SP1系统(管理员身份)。
使用上述方法再次复制1.txt到桌面,打开后出现乱码,和system读取时情况一致。第二种尝试失败。
以上是关于EFS解密----未重装系统的主要内容,如果未能解决你的问题,请参考以下文章