一种离线解析DPAPI加密数据的方法

摘要

本发明公开一种离线解析DPAPI加密块数据的方法，包括步骤：S1、加载待分析设备数据源，确定待分析设备数据源磁盘Windows操作系统分区；S2、获取系统账号主密钥文件、System文件和Security文件；S3、通过扫描DPAPI加密块特征值获取待解密文件的DPAPI加密块；S4、解析System文件和Security文件获取Pbkdf2密钥明文；S5、获取解密系统账号主密钥文件所需的关键信息，使用Pbkdf2密钥解密系统账号主密钥文件得到主密钥明文；S6、使用主密钥解密DPAPI加密块得到数据明文。本发明的有益效果为：本发明无需依赖于目标数据源所在的操作系统，也无需知道计算机的用户名和密码，即可对DPAPI系统存储区的加密数据进行解密，同时也满足对证据源只读操作和跨平台解密的需求。

主权项

一种离线解析DPAPI加密数据的方法，其特征在于，包括步骤：S1、加载待分析设备数据源，确定待分析设备数据源磁盘Windows操作系统分区；S2、根据所述操作系统分区获取系统账号主密钥文件、System文件和Security文件；S3、通过扫描DPAPI加密块特征值获取待解密文件的DPAPI加密块；S4、解析System文件和Security文件获取Pbkdf2密钥明文；S5、获取解密系统账号主密钥文件所需的关键信息，使用Pbkdf2密钥解密系统账号主密钥文件得到主密钥明文；所述步骤S5具体包括步骤：获取解密系统账号主密钥文件所需的关键信息，该关键信息包括主密钥文件唯一标识masterKeyGuid、加密算法干扰值pbyCryptoAlgSalt、数据块哈希算法标识dwHashAlgId、额外熵参数pOptionalEntropy和数据块哈希算法标识dwHashAlgId；根据主密钥文件唯一标识masterKeyGuid得到DPAPI加密块的主密钥文件，所述主密钥文件共包含5个数据单元，分别为主密钥头部单元、用户主密钥单元、本地加密密钥单元、历史凭据标识单元和域密钥备份单元；解析用户主密钥单元获取主密钥干扰值pbkSalt、Pbkdf2算法迭代次数dwPbkdf2Num以及主密钥哈希算法标识dwHmacAlgId；以Pbkdf2算法迭代次数dwPbkdf2Num、主密钥哈希算法标识dwHmacAlgId和主密钥干扰值pbkSalt做为输入参数，对Pbkdf2密钥明文进行Pbkdf2运算，得到运算结果bySessionKeyAndIV；判断PolRevision是否大于0x00010009；当PolRevision小于0x00010009时，所述结果bySessionKeyAndIV长度为32字节，将bySessionKeyAndIV的前24字节和后8字节分别做为DES‑3算法的解密密钥和初始化向量对用户主密钥单元的主密钥密文进行DES‑3解密，得到的明文最后64字节即为主密钥明文byMasterKey；当PolRevision大于或等于0x00010009时，所述结果bySessionKeyAndIV长度为48字节，将bySessionKeyAndIV的前32字节和后16字节分别做为AES‑256算法的解密密钥和初始化向量对用户主密钥单元的主密钥密文进行AES‑256解密，得到的明文最后64字节即为主密钥明文byMasterKey；S6、使用主密钥解密DPAPI加密块得到数据明文，所述步骤S6具体包括步骤：根据所述数据块哈希算法标识dwHashAlgId对主密钥明文byMasterKey进行哈希运算得到主密钥哈希byMasterKeyHash；根据所述加密算法干扰值pbyCryptoAlgSalt、数据块哈希算法标识dwHashAlgId、额外熵参数pOptionalEntropy，以主密钥哈希byMasterKeyHash做为输入进行HMAC哈希运算，得到散列值hmacMasterkey；根据数据块哈希算法标识dwHashAlgId和数据块加密算法标识dwCryptoAlgId，以散列值hmacMasterkey做为输入，生成对称解密密钥lastSessionKey；根据数据块加密算法标识dwCryptoAlgId，以对称解密密钥lastSessionKey为解密密钥、初始化向量为空，对DPAPI加密块密文内容pbyDpapiCipher进行解密，获得DPAPI加密块明文。