EFS加密破解

EFS加密破解1.创建一个新用户，在命令提示符下输入以下命令: net user test“” / add net localgroup管理员test / add 2.备份证书和私钥用户测试帐户以登录到在命令提示符下，系统在下面输入以下命令: cipher / r: test输入密码测试，确认密码测试，这表明文件已成功创建，并且在当前用户目录中已创建两个文件. test.cer是公钥证书，而test.pfx包含代理的私钥. 3.添加数据恢复代理步骤1: 执行“开始→运行”，输入gpedit.msc，然后找到“计算机配置→Windows设置→安全设置→公钥策略→加密文件系统”. 步骤2: 右键单击“加密文件系统”，选择“添加故障恢复代理”，按照向导添加“证书文件”，然后导入刚刚备份的证书test.cer. 4.破解EFS的第一步: 找到test.pfx文件，双击，出现的界面，连续两次单击“下一步”，输入刚才的密码测试，然后连续单击“下一步”，忘记密码，无法打开该帐户的EFS加密文件. 1.原理: EFS加密基于用户，并且没有访问帐户本身的障碍. 要访问由其他帐户加密的EFS文件，我们只需要获取他的登录密码即可.

2. 适用对象: 系统中有多个用户，帐号密码设置相对简单，尚未删除帐号. 3.方法: 该工具破解帐户密码. 4.操作: 第一步: 下载并在系统中的帐户下安装Proactive System Password Recovery. 提示: 这是一个帐户密码查看软件，它使用字典猜测方法来查看帐户密码. 为方便起见，您可以在互联网上下载相应的中文版本. 本文以中文为例. 由于它是密码破解软件，因此防病毒软件在运行时可能会发出警报，请选择“忽略”. 步骤2: 运行程序后，展开“选项→通用选项”，在“选择程序界面语言”下选择“中文”，然后单击“应用”切换到中文版本. 步骤3: 展开“主菜单→还原哈希”，在右侧窗口中，您可以看到当前系统中每个帐户的密码，并使用相应的密码登录系统对文件进行解密. 重做系统后，无法打开先前系统中的EFS加密文件. 1.原理: 使用工具绕过系统，直接从系统GHO映像中扫描先前系统的加密文件，然后强行破解. 2.适用对象: GHO图像在加密后创建（加密之前创建的图像没有密钥），并且知道加密时的帐户密码.

3. 方法: 该工具强制破解加密文件. 4.操作: 第一步: 在新系统中下载并安装“高级EFS数据恢复”（简称AEFSDR）. 步骤2: 使用Ghost Explorer打开图像文件，然后单击“编辑→全选”以将所有图像文件提取到任何空白分区. 步骤3: 启动AEFSDR以激活扫描向导，为扫描分区选择“ c: \”，然后在扫描并找到密钥后，程序将提示您添加用户名和密码. 可以随意输入用户名，密码必须是用于加密文件的帐户密码. 步骤4: 点击Add（添加）按钮. 程序开始扫描指定NTFS分区上的加密文件. 找到如图5所示的文件后，单击Next按钮. 该级别提示您选择一个目录来保存加密文件（例如d :），AEFS DR会将提取的加密文件保存在d: \ AEFSDR_J_DECRYPTED目录中. 该帐户已删除，并且无法打开为此帐户使用EFS加密的文件. 1.原理: 实际上，打开EFS加密的密钥是密钥. 密钥一一对应于该帐户. 如果该帐户被意外删除，我们必须创建另一个与已删除帐户相同的SID，并通过欺骗XP来打开加密文件. 2.适用对象: 本机保存已删除帐户的配置文件，并可以记住原始帐户密码. 如果没有配置文件，请尝试与数据恢复代理一起找到它.

3. 方法: 欺骗系统以创建一个帐户. 4.操作: 提示: 假设现在有一个名为lw的帐户，该帐户带有加密文件，但是该帐户已被删除，现在需要打开使用lw帐户加密的文件. 步骤1: 尝试打开C: \ Documents and Settings \ lw \ Application Data \ Microsoft \ Crypto \ RSA以查看是否存在类似于S-1-5-21-1659004503-789336058-839522115-1003的文件夹，删除SID名称目录），如图7所示. 如果没有这样的目录，我们将使用恢复软件来检索它. 例如，使用PE启动系统后，运行FinaData，单击“文件→打开”，选择C盘进行扫描，如果找到已删除的目录C: \ Documents and Settings \ #lw并将其还原到d: \ . 步骤2: 打开d: \ Documents and Settings \ lw \ Application Data \ Microsoft \ Crypto \ RSA，您可以看到名为S-1-5-21-1659004503-789336058-839522115-1003的目录，即lw的SID是S-1-5-21-1659004503-789336058-839522115-1003，其RID是1003（RI D是SID字符串中的特定帐户授权机构标识符）.

步骤3: 只需在系统中创建一个名为lw的新帐户，并将其RID ID更改为1003. 在Windows中，分配给下一个新帐户的RID由HKEY_LOCAL_M ACHINE \ SAM \ SAM \ Domains \ Account \别名的注册表项的键值. 运行注册表编辑器，展开HKEY_LOCAL_MACHINE \ SAM \ SAM \ Domains \ Account \ Aliases，双击右侧的F值，选择0048处的前四个字节，然后按Backspace键删除，然后输入F0 03 00 00.（请在操作前备份注册表）. 步骤4: 重新启动计算机以创建一个名为lw的帐户，使用新创建的lw帐户登录到系统，启动EFS，随意加密任何文件efs文件加密系统，然后注销（XP仅在EFS加密后生成密钥）. 步骤5: 使用XP系统中的其他管理员帐户登录系统，将先前提取的配置文件重命名为lwefs文件加密系统，然后将其复制到C: \ Docnments and Settings文件夹中，以替换同名文件，因为lw无法替换登录配置文件后正在使用的那个. 步骤6: 替换完成后，重新启动并使用lw帐户再次登录以解密原始EFS加密文件. 由于XP已“误认”了这个新创建的LW帐户作为原始帐户

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-271919-1.html