ntfs后u盘加密打不开-(u盘出现ntfs打不开)

来源:191路由网 2022-12-27 18:27:03

(u盘出现ntfs打不开) 电脑

课前提要

BitLocker加密是Windows的一种数据保护功能,主要用于解决由于计算机设备的物理丢失导致的数据失窃或恶意泄漏,能够同时支持FAT和NTFS两种格式,可以加密电脑的整个系统分区,也可以加密可移动的便携存储设备,如U盘和移动硬盘等。

BitLocker使用AES(高级加密标准/Advanced Encryption Standard)128位或256位的加密算法进行加密,其加密的安全可靠性得到了保证,通常情况下,只要密码有足够强度,这种加密就很难被破解。因此,当取证中遇到涉案的电脑、U盘等被Bitlocker加密的情况,破解加密获取涉案数据就变得尤为重要。

上课之前,先来公布上期的问题答案:阵列的块大小:32扇区;循环方向:右旋;同异步方式:同步;起始扇区:0扇区

如有任何疑问,欢迎到文章下方留言。

一、解密思路

BitLocker加密的过程

(1)对一个磁盘进行BitLocker加密的方法很简单,打开资源管理器,在想要加密的磁盘分区上点击右键,选择“启用BitLocker”即可。(在“控制面板”-“系统和安全”-“BitLocker驱动器加密”里也可以启用和管理加密。)

(2)点击“启用BitLocker”之后,在新弹出的窗口中设置加密驱动器密码,输入完成后点“下一步”,然后选择保存恢复密钥的位置。

(3)一般来说,恢复密钥存放在USB闪存驱动器或打印出来安全系数更高,因为这样操作的话,加密驱动器与恢复密钥分离保管,安全性更好。不过实际情况中,有些时候为了省事,会将恢复密钥保存在硬盘中,这也给了我们解密的可能性。

(4)然后BitLocker就开始对整个驱动器进行加密,BitLocker对于驱动器的加密解密耗时较长,用户需要等待相当长的时间。加密完成之后,可以看到原先的磁盘图标上多了一把锁,此时表示驱动器已经加密完成。

解密思路分析

思路1:通过密码查找解密

从所有涉案介质中获取与密码相关的数据,将这些数据整理成字典后,再通过相应的解密工具解密或暴力破解,因为此方法存在很大的不确定性,所以视情况选择。

思路2:通过恢复密钥解密

◆通过BitLocker加密的过程,我们可以知道在加密设置时会产生恢复密钥,通常大家会以“保存到文件”的方式存放恢复密钥(一般不会选择注册Microsoft账户,而打印又容易丢失,所以更多时候选择保存到文件),这种方式恢复密钥会以TXT文件的方式存放到存储介质中;

◆TXT文本数据在介质中存放时,底层是以明文的方式存放的,就算是TXT被删除,只要底层数据没有被覆盖,我们就可以通过底层关键字查找、正则匹配的方式找到恢复密钥进行解密。

思路3:其它

◆在一些案件中,通过特定的涉案介质如:加密的U盘或移动硬盘,可以在相关的电脑上启动自动解锁功能,我们只需将涉案介质接到相应的电脑上即可解锁加密介质;

◆从解密过Bitlocker加密的电脑内存镜像中提取BitLocker密钥,此方法不做描述,可自行查找相应资料;

◆如有其它方法,欢迎留言探讨。

二、 案例实操

现有一涉案电脑分区被BitLocker加密,需要解密分区获取涉案数据,已经完成涉案电脑硬盘镜像。

检材:001.DD

操作软件:winhex、DRS6800数据恢复系统

解密思路:通过恢复密钥解密

1、获取镜像文件,将其加载到winhex进行全盘检索关键词“恢复密钥”(也可以检索密钥文本中的其他关键词或对密钥的规则进行正则匹配检索),步骤如下:

步骤一:为了提高搜索精准度,将采取十六进制搜索,把“恢复密钥”写入到新的TXT中,并将其另存为UTF-16 LE编码格式的TXT文本,也可以通过与涉案电脑对应的操作系统版本生成一个恢复密钥的TXT文件(通常保存的密钥TXT文件会以UTF-16 LE编码格式存放);

步骤二:将保存有“恢复密钥”的txt文本通过winhex打开,并复制“恢复密钥”对应的十六机制数;

步骤三:通过winhex打开001.DD,并将镜像转换为磁盘;

步骤四: 通过已经复制的“恢复密钥”对应的十六机制数,对打开的001.DD镜像文件进行全盘检索,找到与恢复密钥相关的记录,进行下一步恢复密钥解密验证。

2、将前面步骤找到的恢复密钥进行解密验证,进入DRS6800数据恢复系统数据恢复模块,加载001.DD镜像,对镜像中加密分区右键,选择解锁Bitlocker,输入恢复密钥解密后,选择快速扫描即可获取加密分区数据。

电脑

三、 总结

恢复密钥文件可能会在相关的涉案介质存放,可结合USB插拔记录等痕迹快速找到相关的介质;

Bitlocker因操作系统的版本不同可能存在兼容性问题,如果通过Windows系统自带的Bitlocker解密时,需注意选择与涉案介质相同的操作系统版本;

对于已经处于解密状态下的分区或USB介质,需要在解密状态下尽快完成证据固定,可以通过winhex直接打开解密分区的方式固定分区镜像。要注意的是,如果通过打开磁盘再打开分区的方式固定,分区依然会是加密状态;

对于已经处于解密状态下的分区或USB介质,为了防止突发情况造成介质又处于加密状态,可以在解密状态下右键电脑管理BitLocker操作备份恢复密钥文件。


四、 案例练习

请按恢复密钥的方式解密镜像中的加密分区,并给出加密分区中去重后的word文档数量。

链接:https://pan.baidu.com/s/1kq2fJpTqsLVAW5g2cjHGUw

提取码:x25u

如果您有任何想要了解的实操问题,或者在实战中难以处理的问题,都可以在栏目下方或“效率源”公众号留言告诉我们,我们会将大家的问题安排进栏目的后续内容。


电脑
点击展开全文

相关阅读

u盘设置pe启动系统安装系统还原-(u盘设置pe启动系统安装系统还原不了)

(u盘设置pe启动系统安装系统还原不了)镜像文件的使用大家在使用电脑的过程中,经常会有系统损坏,不能启动的情况。当然我们可以用u盘启动电脑,重新安装系统文件,这是一般的解决办法。但是这样的话,C盘安装的各种软件就清除了,C盘保存的文件也丢失了,如果安装的软件比较多,就需要花费大量的时间重新安装。有没有什么软件,在我们电脑好用的时候,把C盘的系统做一个备份,如果系统损坏了,再把好用的系统恢复回来...

2022-12-27

ntfs后u盘加密打不开-(u盘出现ntfs打不开)

(u盘出现ntfs打不开)电脑课前提要BitLocker加密是Windows的一种数据保护功能,主要用于解决由于计算机设备的物理丢失导致的数据失窃或恶意泄漏,能够同时支持FAT和NTFS两种格式,可以加密电脑的整个系...

2022-12-27

u盘插入磁盘格式化-(插上U盘后显示格式化磁盘)

(插上U盘后显示格电脑式化磁盘)格式化可以有效管理硬盘,在一定程度上能保证磁盘的性能和使用寿命。尤其是我们遇到一些情况,必须要把U盘进行格式化才行。那么磁盘格式化怎么操作?遇到无法格式化的情况怎么办?别急,下面有3个...

2022-12-27

32位xppeu盘吗-()

()网上关于WinPE的教程,因为种种原因,要不不够详细全面,要不部分内容过于陈旧,跟不上PE的发展。总之,让人不够满意。正好这段时间有时间,于是决心认真整理一下WinPE的相关知识,给需要的朋友们。因为本人水平问题,有的表述可能不够准确,有的内容可能还是不够全面,请各位高手批评指正。特别说明:本人所写的...

2022-12-27

u盘安装系统现在硬盘没-(u盘安装系统现在硬盘没反应)

(u盘安装系统现在硬盘没反应)在硬盘或SSD上安装Windows操作系统时,您可能会很惊讶地发现在安装Windows时找不到硬盘,以下为出现的部分错误信息。「找不到任何设备驱动程序,请确定安装媒体包含正确驱动程序,然后按一下[确定]。」...

2022-12-27

191路由网 - 192.168.1.1,192.168.0.1无线路由器设置教程

版权声明:本站的文章和图片来自互联网收集,仅做分享之用如有侵权请联系站长,我们将在24小时内删除