破解微软EFS加密文件另类全面实战方法尝试

一次偶然的EFS加密破解探索——题记（EFS文件加密破解方法分享）

这篇文章记录了一次偶然的EFS文件加密技术破解经历。这仅仅是一个被意外发现的方法，而非一项成熟的破解技术——背后的原理只能依靠推测，所使用的工具也都是他人设计的。充其量算是比别人更早找到了组合利用某些既有工具的方式而已。

EFS加密的原理简述

EFS（Encrypting File System，加密文件系统）是一种基于NTFS磁盘技术的加密方案，采用公钥策略。当对某个文件或文件夹启用EFS时，系统会先生成一个由伪随机数组成的FEK（File Encryption Key，文件加密钥匙），然后用这个FEK结合数据扩展标准X算法创建加密文件，存储到硬盘上，同时删除原始未加密的文件。接着，系统会用当前用户的公钥加密FEK，将加密后的FEK一并存入该加密文件。访问时，系统先用当前用户的私钥解密FEK，再通过FEK解开文件内容。第一次使用EFS时，如果用户还没有公钥/私钥对，系统会自动生成密钥。如果登录到域环境，密钥的生成依赖域控制器，否则依赖本地机器。听起来复杂，但是实际使用过程中就没有那么复杂了——实际上，用户验证过程是在登录Windows时完成的，只要成功登录，就可以正常访问所有被授权的加密文件。换句话说，EFS对合法用户是透明的——你加密了文件，自己访问不受任何限制；而其他非授权用户试图访问时，只会收到“访问拒绝”的错误提示。

由于电脑平时基本只有一个人使用，又经常重装系统且懒得备份密钥，所以从来没认真用过Windows 2003或XP的EFS功能。直到最近读到不少求助帖子，说EFS密钥未备份导致数据无法恢复，这才突然灵光一闪，想试试能否绕开EFS的加密机制。

试验环境的搭建

试验环境很简单：Windows XP Pro SP2系统，在一块NTFS磁盘上创建了一个名为test的文件夹，并启用EFS加密。文件夹里只放了一个加密文本文件1.txt。计划分两步：先尝试用另一个用户账户读取这个文件，然后换到第二个系统（模拟重装系统、丢失证书的情况）再次尝试读取。

第一步：尝试用其他账户读取

先启用系统中的GUEST账户。从资源管理器直接访问test文件夹——被拒绝，这在意料之中。打开命令提示符，在任务管理器里终止explorer.exe进程，然后用PsExec尝试以SYSTEM身份登录。结果失败，提示进程无法创建——看来权限还不够。回到管理员账户，新建一个管理员账户test并以此身份登录。在test账户下运行资源管理器，可以看到test文件夹，但无法打开1.txt。再次用SYSTEM登录，这次能够打开文件，但内容全是乱码！运行IceSword.exe（冰刃），在“文件”定位到test文件夹，右键点击1.txt，选择“复制到桌面”，文件名随意，后缀保持原样。双击打开——文件内容正常显示！第一步破解EFS成功。

第二步：在Windows Server 2003下尝试

登录到Windows Server 2003 SP1系统（管理员身份），使用相同方法再次复制1.txt到桌面。打开后仍是乱码，与刚才SYSTEM读取时的情况完全一致。第二种尝试宣告失败。

总结

本方法的意义

目前来看，这个方法仅适用于查看系统中其他人使用EFS加密过的文件（请注意：不要用于违法或侵害他人权利的行为！）。对于系统重装或私钥丢失情况下的文件恢复，还需要进一步探索。

使用的两个软件

PsExec——国外非常流行的命令行远程控制工具，常用于系统权限提升。IceSword（冰刃）——PJF出品的国内著名隐藏进程查看与分析软件，具备底层文件访问能力。

适用条件

1. 需要具备运行上述两个软件的权限（结合net user命令应该不难获取，这里只提供一个思路，请读者自律）。
2. 系统内还必须存有该EFS加密文件对应的密钥——这一点是基于初步推测。

成功原因的浅析

1. 利用了SYSTEM账户特有的内核级权限，这可能让破解者能够访问管理员或其他正常用户的密钥。
2. IceSword特有的文件读取技术。关于这一点，是最大的谜团——真希望能听到PJF亲自解释一下这是如何实现的。