另类方法破解微软EFS加密文件的尝试
本文记录的是我偶然的一次破解EFS文件加密技术的经历。这仅是我偶然发现的一个方法,而不是一种破解技术,因为内中的原理我仅能推测,而使用的软件也都是别人设计的。我顶多算是比别人更早地找到了组合利用某些既有工具的方法而已。————题记
EFS(Encrypting File System,加密文件系统)加密是一种基于NTFS磁盘技术的加密技术。EFS加密基于公钥策略。在使用EFS加密一个文件或文件夹时,系统首先会生成一个由伪随机数组成的FEK(File Encryption Key,文件加密钥匙),然后将利用FEK和数据扩展标准X算法创建加密后的文件,并把它存储到硬盘上,同时删除未加密的原始文件。接下来系统利用你的公钥加密FEK,并把加密后的FEK存储在同一个加密文件中。而在访问被加密的文件时,系统首先利用当前用户的私钥解密FEK,然后利用FEK解密出文件。在首次使用EFS时,如果用户还没有公钥/私钥对(统称为密钥),则会首先生成密钥,然后加密数据。如果你登录到了域环境中,密钥的生成依赖于域控制器,否则它就依赖于本地机器。说起来非常复杂,但是导适褂霉讨芯兔挥心敲绰榉沉恕FS加密的用户验证过程是在登录Windows时进行的,只要登录到Windows,就可以打开任何一个被授权的加密文件。换句话说,EFS加密系统对用户是透明的。这也就是说,如果你加密了一些数据,那么你对这些数据的访问将是完全允许的,并不会受到任何限制。而其他非授权用户试图访问你加密过的数据时,就会收到“访问拒绝”的错误提示。我的电脑一般来说不会有别人使用,而我经常重装系统,又懒得备份密钥,所以我从来没有使用过Windows 2003或者Windows XP的EFS功能。今天读到了一些关于EFS密钥没有备份因而数据无法恢复的求助帖子,所以突然想出一个点子想试着解开EFS的加密。我构造的试验环境是在Windows XP Pro SP2系统中的一块NTFS磁盘上建立一个test文件夹,启用EFS加密。文件夹中是一个加密过的文本文件1.txt。现在我先用另一个帐户去尝试读取这个文件,然后在第二个系统中(相当于重装系统没有证书的情况)再次尝试读取这个文件。
第一步,启用我系统中的GUEST帐户。
此时从资源管理器中是不能访问test文件夹的。
打开cmd,在任务管理器中终止explorer.exe进程,打开PsExec尝试用system登录。
失败。提示进程无法创建。看来全县不够。
回到管理员帐户,新建一个管理员帐户test并以之登录。
在test帐户中运行资源管理器可以访问test文件夹,但是不能打开1.txt加密文件。
此时再用上法以system登录。此时打开文件为乱码!
运行IceSword.exe,在 文件 中定位test文件夹。右键选择1.txt,复制到桌面,文件名任意,后缀不变。
双击打开文件,正常读出!第一步破解EFS成功!
使用上述方法再次复制1.txt到桌面,打开后出现乱码,和system读取时情况一致。第二种尝试失败。
总结:
本方法意义:
目前仅适用于察看系统中其他人使用EFS加密过的文件(请读者务必不要做违法及危害他人权利的事!),在系统重装或私钥丢失情况下的文件恢复有待进一步地探索。
本方法使用的两个软件:
PsExec IceSword。前者是国外非常流行的远程控制软件,命令行界面。后者则是PJF制作的国内著名隐藏进程察看软件冰刃。
本方法适用条件:
需要足够运行上述两个软件的权限(如果可以结合net user命令的话应该不难,这只是一个小提示,读者还请自律^_^)。
系统内还有该EFS加密文件对应的密钥(这一条件是基于我的初步推测)
本方法成功的原因浅析:
利用了system帐户特有的内核级权限,这可能是能够读取管理员或其他正常用户密钥的条件。
IceSword特有的读取加密文件的技术。关于这一点,是我最百思不得其解的地方,真希望能听到PJF亲自阐述一下这是如何实现的0.0。
推荐系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言:中文版系统大小:3.98GB系统类型:Win10笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言:中文版系统大小:3.98GB系统类型:Win10雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言:中文版系统大小:3.98GB系统类型:Win10电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言:中文版系统大小:3.98GB系统类型:Win10新雨林木风 Windows10 x86 企业装机版2022年7月(32位) ISO镜像高速下载
语言:中文版系统大小:3.15GB系统类型:Win10
相关文章
- 三步搞定win7无线网络共享(随时随地wifi)
- 新勒索邮件以毁坏网站声誉为由,强迫受害人交2400美元
- Windows虚拟技术的武器化尝试
- 勒索,恶意软件和残酷的骗局-恶意软件2021年报告
- 对中东石油和天然气供应链产业的APT攻击
- Gartner发布2020年端点安全技术成熟度曲线报告
- 苹果手机微信聊天记录删除了怎么恢复?
- 专访 HackerOne COO 王宁:尊重规则是漏洞平台成功的秘诀,欢迎更多成人网站进驻 | 宅客
- Win10搜索没有结果
- Edge浏览器总是出现选择以设置Adobe flash
- 王者荣耀中如何赠送好友英雄?
- 加密解密那些事之SSL(https)中的对称加密与非对称加密
- Getright 5 手动脱壳和重建IAT--第一部分(图)
- 内存不能为read修复方法 解决内存不能为read
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
- 2雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
- 3深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
- 4电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
- 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
- 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
- 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
- 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
热门文章
常用系统
- 1笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
- 2新萝卜家园 Ghost XP SP3系统 电脑城极速纯净版 2019年10月 ISO镜像高速下载
- 3雨林木风Ghost Win8.1 (X64) 极速纯净版2020年8月免激活) ISO镜像高速下载
- 4深度技术Ghost Win8.1 x64位 最新纯净正式版下载 2018年8月免激活)
- 5笔记本&台式机专用系统GhostWin7 64位元旦特别 旗舰版2021年1月(64位) 高速下载
- 6雨林木风系统 Ghost XP SP3 装机版 YN2020年4月 ISO镜像高速下载
- 7电脑公司Ghost Win8.1 x32 喜迎国庆 精选纯净版2021年10月(免激活) ISO镜像高速下载
- 8电脑公司Ghost Win7 x64 Sp1装机万能版2022年3月(64位) ISO镜像免费下载
- 9番茄花园Ghost Win7 x64 SP1稳定装机版2020年6月(64位) 高速下载
- 10深度技术Ghost Win7 Sp1 电脑城万能装机版2021年3月(32位) ISO高速下载