pfx导入后仍然打不开加密文件_【实战】手工恢复EFS加密文件

1 概述

EFS作为一种常见的加密形式，在电子物证取证过程中经常遇到。一些情况下，商业软件并不能很好地识别解密EFS加密文件。此时便需要勘验民警掌握EFS加密原理并根据原理恢复出原始加密文件。

下面本文将介绍如何手工恢复EFS加密的文件。

1.1模拟案件背景

8月20日18：00某市汽车站发生一起爆炸案件，经初步侦查，炸弹系通过手机远程引爆，办案人员经过综合研判分析，确定了引爆炸弹的手机号码，通过该号码进行落地抓捕了一名犯罪嫌疑人王五，并在现场扣押了一部笔记本电脑、一台Android手机(已制作成镜像文件Android.dd)，并将对象使用的计算机硬盘及进行了证据固定，制作成镜像文件“wang.E01”。

经过初步分析，发现硬盘中部分文件是EFS加密形式加密。

图1.1、图1.2 加密文件详情

1.2 EFS加密的的工作原理

当一个用户使用EFS去加密文件时，即使他完全不懂加密，也能加密文件，可以对单个文件进行加密，也可以对一个文件夹进行加密，这样所有写入文件夹的文件将自动被加密。一旦用户发布命令加密文件或试图添加一个文件到一个已加密的文件夹中，EFS将进行以下几步：

第一步：NTFS首先在这个文件所在卷的卷信息目录下(这个目录隐藏在根目录下面)创建一个叫做efs0.log的日志文件，当拷贝过程中发生错误时利用此文件进行恢复。

第二步：然后EFS调用CryptoAPI设备环境.设备环境使用MicrosoftBase Cryptographic Provider 1.0 产生密匙,当打开这个设备环境后，EFS产生FEK(FileEncryption Key，文件加密密匙)。这个文件使用DESX加密算法进行加密。

第三步: 获取公/私