EFS 加密文件破解實戰：利用「策略代理」與多管理員賬號權限提取密鑰解密

Windows EFS（加密文件系統）基於公鑰策略保護 NTFS 卷數據。本文通過實例演示：在多管理員賬號環境下，利用 cipher /r 導出恢復代理憑證，經組策略導入並匯入私鑰，繞過 EFS 保護讀取他人加密文件，並給出徹底防範的權限配置建議。

場景還原

小王用 Administrator 賬號 EFS 加密 D 盤重要文件夾離職。同事小李以另一管理員賬號 hongyun 登錄，破解提取文件。

破解步驟

1. 導出恢復代理密鑰對：hongyun 登錄，CMD 執行 cipher /r:mykey，輸入密碼 key123456789，生成 mykey.cer（公鑰）與 mykey.pfx（私鑰）。
2. 組策略導入公鑰：運行 gpedit.msc，展開「計算機配置 → Windows 設置 → 安全設置 → 公鑰策略 → 加密文件系統」，右鍵「添加資料恢復代理」，導入 mykey.cer。
3. 驗證代理生效：查看加密文件屬性 → 高級 → 詳細信息，可見新增恢復代理項目。
4. 匯入私鑰解密：雙擊 mykey.pfx，按向導輸入密碼完成憑證導入。此後雙擊加密文件即可正常打開。

EFS 核心機制補充

• 無需額外輸入密碼：登錄 Windows 時已完成用戶驗證，密鑰自動載入。
• 轉 FAT32/用 NTFSDOS 無法破解：EFS 是真加密，非權限控制。
• 重裝系統後同用戶名密碼也無法解密：密鑰綁定 SID，重裝後 SID 變化。
• EFS 文件仍可被刪除：需配合 NTFS 權限禁止非授權訪問。
• Ghost 還原系統會導致密鑰丟失：必須在創建鏡像**前**已有過加密操作，或單獨備份密鑰（%APPDATA%\Microsoft\Crypto\RSA）。

徹底防範：權限鎖死

加密文件/文件夾屬性 → 「安全」 → 「高級」 → 取消勾選「允許繼承權限」，刪除除自己外所有賬號權限。如此即使有管理員賬號也無法讀取文件從而導入恢復代理。

本文來自於【系統之家】 www.xp85.com