☰

可耻的直接复制/粘贴解密 EFS 加密文件文章：

tag-icon • tag-icon windows windows-7 windows-10 encryption efs
可耻的直接复制/粘贴解密 EFS 加密文件文章：

最终编辑： 一切都归结为 EFS 加密，我没有证书、私钥或任何东西，幸运的是，windows.old 有 AppData 文件夹，我可以从中获取所需的文件，以便按照已接受答案中的指南进行操作。这对我来说很有效。

另外，我没有密码，但计算机用户没有使用密码，因此指南中提到的空白密码哈希对我有用。有关我为调试所做的其他操作的更多详细信息，请参阅聊天。

编辑：我尝试了答案问题，它们对我来说不起作用，它们没有失败，它们运行了，并且所有权发生了变化，但我仍然无法访问这些文件。

今天是个好日子，

我遇到了这个问题，但我不知道该如何正确提问，因为它包含 Windows“文档”文件夹，如果你谷歌一下，就会出现很多关于各种文档的结果。无论如何，我要解释一下我的情况，看看能不能做些什么。

这个人将我爸爸的 Windows 电脑从 Windows 7 升级到了 Windows 10，我不太清楚他是怎么做到的，但是有一个 Windows.old 文件夹，里面有一个文件夹，里面的文件无法访问，而这正是我爸爸需要访问的，这是多年的努力，这就是我在这里提问的原因，因为我在互联网上找不到解决方案。

我将只输入用户名，因为我要附上屏幕截图，此时，我不太关心安全性，我只想能够访问文件。文件夹是“C:\Windows.old\Usuarios\MARTIN CAMPOS\Documentos”，这是西班牙语的 Windows。

很多年前，我曾经遇到过这个问题，但我用新硬盘替换了旧硬盘，因此旧硬盘中仍可以使用以前的 Windows 版本，我所做的只是启动使用旧硬盘的计算机，将“Documentos”文件夹中的所有文档复制到外部驱动器，而不是复制“Documentos”文件夹，就是这样，非常简单。在这种情况下，旧的 Windows 安装不可用，此人只是在同一硬盘上用 Windows 10 替换了 Windows 7。

好了，回到问题本身，“C:\Windows.old\Usuarios\MARTIN CAMPOS”内的任何文件都可以访问，只有“C:\Windows.old\Usuarios\MARTIN CAMPOS\Documentos”及其子文件夹中的文件无法访问，它们的图标上有一个锁：

截屏

我尝试了此视频中的解决方案：https://www.youtube.com/watch?v=sciON4DvGpY，看起来很有希望，但却没有奏效。

我尝试授予用户对该文件夹的完全控制权、更改所有者以及我能想到的任何操作： 在此处输入图片描述

但是我没有运气，我注意到权限看起来不一样，复选标记显示为灰色：

在此处输入图片描述

而不是像粗体黑色：

在此处输入图片描述

不确定这是否与此有关。我收到的文件错误是“拒绝访问”：

在此处输入图片描述

但是，是的，这就是我遇到的问题，有什么可以做的吗？任何帮助都将不胜感激。

編輯

icacls 的输出：（最后一行，因为它对于所有文件都是相同的）

archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\RFC YAMB010526S46-2.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\RFC YAMB010526S46.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\SAT.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\SATaclaracion.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\SATactualizaciondeoblig.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF YAMB\SATsuspensióndeactividadesYAMB.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF ZAPM\Acuse_renovacionZAPM.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF ZAPM\RFC ZAPM510126KW7 CAMBIO DE DOMICILIO.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF ZAPM\RFC ZAPM510126KW7.pdf
archivo procesado: C:\Windows.old\Users\MARTIN CAMPOS\Documents\XML Y PDF ZAPM\SAT RESICOzapm.pdf
Se procesaron correctamente 16334 archivos; error al procesar 0 archivos

意思是“16334 个文件处理正确，0 个文件处理错误”

尝试将文件复制到文件夹外时出错，包括当前登录 Windows 的用户：

在此处输入图片描述

其含义为“您需要权限才能执行此操作/需要 DESKTOP-AUKOJ78/Campos 的权限才能对此文件进行更改。”

我从运行命令中得到了什么icacls“C:\Windows.old\Users\MARTIN CAMPOS\Documents”：

C:\Windows\system32>icacls "C:\Windows.old\Users\MARTIN CAMPOS\Documents"

C:\Windows.old\Users\MARTIN CAMPOS\Documents APPLICATION PACKAGE AUTHORITY\ALL APPLICATION PACKAGES:(OI)(CI)(F)
                                             APPLICATION PACKAGE AUTHORITY\TODOS LOS PAQUETES DE APLICACIÓN RESTRINGIDOS:(OI)(CI)(F)
                                             DESKTOP-AUKOJ78\Campos:(OI)(CI)(F)
                                             Everyone:(OI)(CI)(RX)
                                             BUILTIN\Administradores:(OI)(CI)(F)
                                             NT AUTHORITY\SYSTEM:(OI)(CI)(F)

Se procesaron correctamente 1 archivos; error al procesar 0 archivos

编辑更多信息

所以我按照建议做了 ChkDskC:/OfflineScanAndFix并在 Windows 7 中创建一个具有相同用户名的新用户，但似乎没有任何效果，我还尝试了仅 1 个文件的权限，试图解除阻止或采取其他措施，但似乎没有任何效果。没有什么可以移除黄色挂锁。

在此处输入图片描述

我剩下的唯一能做的就是尝试恢复到 Windows 7，还有 Linux，但只有当我拿到物理 CPU 时才能尝试这些。

同时，我们也非常欢迎您提出任何进一步的远程建议。

编辑 3 Ubuntu 屏幕截图

因此，我注意到我只能打开在某个日期之前创建或修改的文件，大约在 2018 年 2 月 3 日及之前。

这是我用手机拍的照片，显示“权限被拒绝”错误。并打开一个于 2018 年 2 月 3 日创建的文件，该文件可以打开。

Ubuntu

答案1

可耻的直接复制/粘贴解密 EFS 加密文件文章：

回顾聊天记录（在问题评论下）Windows 右上角的金色挂锁似乎表示 EFS 文件。w32sh 发布A链接至论坛建议修复这篇文章并且 OP 建议它似乎允许他们解密他们的文件！

  1. 从其中一个加密文件中检索证书指纹

密码/c“D：\ Users \ foo \ Pictures \ secret.jpg”...证书指纹：096B A4D0 21B5 0F5E 78F2 B985 4A74 6167 8EDA A006

未找到恢复证书。

无法检索关键信息。

无法解密指定的文件。

  1. 将证书及其公钥导出至 DER

mimikatz # crypto::system /file:"SystemCertificates\My\Certificates\096BA4D021B50F5E78F2B9854A7461678EDAA006" /export ... 密钥容器：d209e940-6952-4c9d-b906-372d5a3dbd50 提供程序：Microsoft Enhanced Cryptographic Provider v1.0... 已保存到文件：096BA4D021B50F5E78F2B9854A7461678EDAA006.der

  1. 找到主密钥

检查 Crypto\RSA\SID\ 内的文件，找到包含与步骤 2 中找到的密钥容器匹配的 pUniqueName 的文件，例如，

mimikatz # dpapi::capi /in:"Crypto\RSA\S-1-5-21-3425643682-3879794161-2639006588-1000\43838b0ac634d4f965f7c24f0fa91b2b_a55eeef9-ab65-4716-a466-adfc937caecd" ... pUniqueName : d209e940-6952-4c9d-b906-372d5a3dbd50 ... guidMasterKey : {92f17fce-aae6-488b-9fd8-7774c6c3eb16}

  1. 如有必要，恢复 NTLM 哈希

如果密码未知，请恢复 NTLM 哈希：

mimikatz # lsadump::sam /system:SYSTEM /SAM:SAM ... RID: 000003e8 (1000) 用户: foo 哈希 NTLM: 31d6cfe0d16ae931b73c59d7e0c089c0

对于域帐户，您只需要 NTLM 哈希 (/hash:xx)；对于本地帐户，您需要相应的密码 (/password:xx) 或其 SHA1 哈希 (/hash:xx)，这意味着知道、破解或查找它：1

Lookup online:
    CrackStation
    Ntlm() Encrypt & Decrypt
    HashKiller
Lookup offline:
    Rainbow Crackalack
    FreeRainbowTables.com
Crack via hashcat or similar
  1. 解密主密钥

在此示例中，我们有一个本地帐户，其 NTLM 哈希值为 31d6cfe0d16ae931b73c59d7e0c089c0，对应密码为空白，SHA1 哈希值为 da39a3ee5e6b4b0d3255bfef95601890afd80709：

mimikatz # dpapi::masterkey /in:"Protect\S-1-5-21-3425643682-3879794161-2639006588-1000\92f17fce-aae6-488b-9fd8-7774c6c3eb16" /hash:da39a3ee5e6b4b0d3255bfef95601890afd80709 ... [masterkey] 带有哈希：da39a3ee5e6b4b0d3255bfef95601890afd80709 (sha1 类型) 密钥： 6e24723a56a885fc957f25d4872cbbf10589b1f08033d32174ef3618a192f0e101e41196ca76d689057737429af000af2d7e19497ef2151344dfdfdfb9a6bfd0 sha1：4505118da94b7df471bbbcf6d2c6c744a612e62b

  1. 解密私钥

mimikatz # dpapi::capi /in:"Crypto\RSA\S-1-5-21-3425643682-3879794161-2639006588-1000\43838b0ac634d4f965f7c24f0fa91b2b_a55eeef9-ab65-4716-a466-adfc937caecd" /masterkey:4505118da94b7df471bbbcf6d2c6c744a612e62b ... 私人出口：OK - 'raw_exchange_capi_0_d209e940-6952-4c9d-b906-372d5a3dbd50.pvk'

  1. 构建 PFX 证书

使用 OpenSSL：2

openssl.exe x509 -inform DER -outform PEM -in 096BA4D021B50F5E78F2B9854A7461678EDAA006.der -out public.pem

openssl.exe rsa -inform PVK -outform PEM -in raw_exchange_capi_0_d209e940-6952-4c9d-b906-372d5a3dbd50.pvk -out private.pem 写入 RSA 密钥

openssl.exe pkcs12 -in public.pem -inkey private.pem -password pass:bar -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx

  1. 安装 PFX 证书

certutil -user -p bar -importpfx cert.pfx NoChain,NoRoot 证书“用户”已添加到存储中。CertUtil：-importPFX 命令已成功完成。

  1. 访问您的文件！

您的文件现在应该可以访问了，但是您可能想借此机会解密它们：

密码/d“D：\ Users \ foo \ Pictures \ secret.jpg”

密码/d/s：“D:\Users\foo\Pictures”

（或右键单击→高级→取消选中“加密内容以保护数据”→确定）。

答案2

这台计算机所发生的情况是不合逻辑的，但我建议不要试图修复它，而是解决问题。

我建议启动 Linux Live USB 并复制 Documents 文件夹。Linux 不关心文件的 Windows 权限。

之后，我建议运行chkdsk以验证磁盘的完整性，因为拥有该文件夹的所有权就足以授予所有访问权限。

答案3

使用 Unlocker 软件解锁文件并删除权限。

这也将帮助您重命名锁定的文件。

相关内容