巧用 Ghost Explorer 破解 Windows XP 私有資料夾權限：鏡像掛載法取回加密文件

問題場景

雙系統 (Win2000 + WinXP)。重裝 Win2000 後無法進入 WinXP，且忘備份 WinXP Documents and Settings\zzyi4u (設為私有)。嘗試：
- Win2000 下存取 → 拒絕存取。
- XP 修復安裝 → 超級用戶密碼錯誤。
- 重裝 XP (保留舊用戶資料夾) → 新建同名用戶 → 原資料夾仍無法存取。
- 掛到他機 → 依然拒絕存取。
NTFS 權限 + EFS 加密雙重鎖死。

破解靈感：Ghost Explorer (GhostExp) 可讀取鏡像內 NTFS 權限結構

1. DOS 下用 Ghost 對 WinXP 系統分區做鏡像 (XP.gho)。
2. 重啟進 Win2000，啟動 GhostExp.exe 開啟 XP.gho。
3. 驚人發現：GhostExp 直接繞過 NTFS/EFS 權限，可瀏覽、提取私有資料夾內所有檔案！
4. 右鍵資料夾 → 「Extract」/「恢復」→ 指定輸出路徑 → 檔案完整取出。

原理分析

• Ghost 映像是扇區級複製，包含原始 MFT (主檔案表) 與檔案資料流。
• GhostExp 以獨立解析器讀取映像，不載入 Windows NTFS/EFS 驅動，故不受 ACL、EFS 金鑰限制。
• 相當於在「離線」狀態下直接讀取磁碟資料結構，繞過作業系統安全子系統。

應用延伸

• 忘記 EFS 憑證/密鑰導致檔案無法存取 → 同法做鏡像 → GhostExp 提取。
• 系統損壞無法開機但磁碟完整 → 做鏡像 → 任意機器用 GhostExp 取資料。
• 取證/資料救援：不改變原始證據，映像當唯讀來源分析。

警示與建議

• 此法僅適用於本機管理員/擁有者合法取回自有資料，切勿用於非法入侵。
• 平時務必備份 EFS 憑證 (cipher /x 導出 .pfx) 與定期備份重要資料，才是根本之道。
• 現代 Windows (Vista+) BitLocker 全磁碟加密則無此漏洞，鏡像同樣加密。