计算机内存取证之BitLocker恢复密钥提取还原

置顶

VIP文章 _Noema

已于 2023-06-02 13:45:30 修改

阅读量2.6k

点赞数

分类专栏： windows 加密解密文章标签： BitLocker BitLocker恢复密钥 BitLocker解密 BitLocker计算机取证内存分析取证

于 2023-06-01 20:24:58 首次发布

本文链接：https://blog.csdn.net/liu_si_yan/article/details/130995073

版权

BitLocker是微软Windows自带的用于加密磁盘分卷的技术。

通常，解开后的加密卷通过Windows自带的命令工具“manage-bde”可以查看其恢复密钥串，如下图所示：

如图，这里的数字密码下面的一长串字符串即是下面要提取恢复密钥。

在计算机取证界，经常遇到嫌疑人的目标电脑的磁盘是经过BitLocker加密的，此时通常的做法是通过某种手段（WinPmem、DumpIt、DMA PCILeech，ColdBoot等）取得目标机内存镜像，同时对目标机的磁盘做一个磁盘镜像（WinFE，WinHex，FTKImage等）。

而后，对获取的内存镜像分析（MemProcFS、Volatility等工具）取得BitLocker的VMK密钥，然后通过VMK密钥解密目标磁盘镜像（取证大师等工具），进而获取磁盘中的文件。

这里讲的是通过VMK密钥 + 加密磁盘镜像获取明文恢复密钥串的方法，该方法国外的工具有Elcomsoft、Passware Kit等。

（文字的东西不想多说了，直接上代码，卷起来！）

关键参考代码如下：

//
// @Noema 2021-08-27
// 以下提取恢复密钥明文的方法通过逆向fveapi.dll得来
// 重点关注fveapi.dll中的CFveApiBase::GetAuthMethodInformation函

关注