XP文件夹加密恢复拒绝访问

　　(2) 定位到HKEY_LOCAL_MACHINESAMSAMDomainsAccount注册表项，双击打开右侧的F键值。

　　(3) 这里要说明一下，Windows是以十六进制、而且以反转形式保存下一个帐户的RID。什么意思呢?也就是说，如果是1004的RID，对应十六进制就是03EC，但是我们必须把它反转过来变成EC03，再扩展为4个字节，就是EC 03 00 00。

　　所以，我们应该把F键值的0048偏移量处，把其中四个字节改为“EC 03 00 00”，如图2所示。

　　(4) 重要：别忘了重启计算机!

　　(5) 重启以后，新建一个同名帐户Admin，它的SID应该和以前是完全一样。如果不相信的话，可以借助GetSID或者PsGetSID等工具测试一下。

　　2.“破jie”EFS

　　接下来的方法就非常简单了，用新建的Admin帐户身份登录系统，随便加密一个文件，然后注销，用管理员帐户登录系统，把原来保留的配置文件复制到C:Documents and SettingsAdmin文件夹下。

　　再用Admin帐户登录系统，现在可以解密原来的EFS文件了。

　　疑难解答

　　1.如果已经重装系统，那怎么办?

　　“声明”部分提到的那篇文章里提到，如果还记得原来帐户的密码，并且配置文件没有被删除的话，还有希望。这时候可以借助sysinternals的NEWSID工具把系统的计算机SID重设为原来的值，再用前面描述的方法构造所需的RID，这样就可以获得所需的帐户SID。剩余步骤完全一样。

　　2.有用户曾经遇到这样的问题：登录系统时收到提示说密码过期，需要重设，重设密码登录后发现打开EFS文件。

　　KB890951提到这个问题。其解释是因为在修改密码时，系统还没有加载配置文件(有点语焉不详)，原文如下：

　　This problem occurs because the user profile for the current user is not loaded correctly after you change the password.

　　配置文件和EFS有何相干?看完本文，大家应该知道，EFS的私钥和主密钥都是保存在配置文件里的。由于配置文件没有加载，所以主密钥的加密版本没有得到更新(没有跟上帐户密码的变化)，导致主密钥无法正确解密，从而无法解密私钥和FEK。这就是问题的真正原因。

　　该KB提供了一个内部补丁，可以解决这个问题。KB890951的链接如下：

　　http://support.microsoft.com/kb/890951

　　3.有关公钥的问题

　　为了容易理解，笔者故意忽略了公钥。公钥保存也保存在帐户的配置文件里：

　　%UserProfile%Application DataMicrosoftSystemCertificatesMyCertificates

　　在EFS恢复的操作中，必须确保公钥也要复制到新帐户的配置文件里。尽管看起来公钥与EFS解密无关(它负责加密)。

　　原来，加密文件$EFS属性的DDF字段里除了有帐户SID和加密的FEK副本外，还有公钥的指纹信息(Public Key Thumbprint)和私钥GUID信息(私钥的某种散列值)。

　　系统在扫描加密文件$EFS属性中的DDF字段时，根据用户配置文件里的公钥中所包含的公钥指纹和私钥GUID信息，当然还有帐户的SID，来判断该帐户是否具有对应的DDF字段，从而判断该用户是否属于合法的EFS文件拥有者。

　　所以公钥也很重要。

　　当然公钥是可以“伪造”的(可以伪造出所需的公钥指纹和私钥GUID)，以欺骗EFS系统，具体方法可以参考国外的那篇原稿，此处不再赘述。

　　加强EFS的安全

　　由于EFS把所有的相关密钥都保存在Windows分区，所以这可能给EFS带来一定的安全隐患。目前有一些第三方工具号称可以破jieEFS，这些工具首先攻击SAM配置单元文件，尝试破jie帐户密码，从而破jie帐户密码→主密钥的加密密钥→主密钥→EFS私钥→FEK的“密钥链”。

　　为了防止攻击者窥视我们的EFS文件，可以借助以下三种方法：

　　1.导出删除私钥

　　可以用证书向导导出EFS加密证书和私钥，并且在“证书导出向导”对话框里选择删除私钥。

　　删除私钥以后，攻击者就没有办法访问EFS加密文件了，而我们需要访问时，只需导入先前备份的证书和私钥即可。

　　2.System Key提供额外的保护

　　System Key可以对SAM配置单元文件和EFS私钥提供额外保护。Windows XP的System Key默认保存在本地 　　注意： 　　首先要弄清你使用的是EFS加密还是ACL用户权限控制。如果选择的是“将这个文件夹作为专用”，那么使用的是ACL用户权限控制，解除ACL用户权限控制方法如下：打开“控制面板→文件夹选项”，在查看标签页下清除“使用简单共享”前面的复选项，点击确定按钮。然后右键点击C:Documents and Settings用户名 My Documents，选择安全选项卡，在组和用户里面把自己的账户添加进去即可。如果使用的是“属性→高级→加密以便保护数据”，那么你使用的是EFS加密技术。EFS加密技术用数字证书对文件进行加密。要解开EFS加密，需要使用加密时进行操作的账户登录，然后进行加密操作的逆操作。如果重新安装过系统，那么在未导入先前进行加密操作时系统创建的证书的情况下，是无法进行解密操作的。

上一页  [1] [2]