一种离线解析DPAPI加密数据的方法

摘要

本发明公开一种离线解析DPAPI加密块数据的方法，包括步骤：S1.加载待分析设备数据源，确定待分析设备数据源磁盘Windows操作系统分区；S2.获取系统账号主密钥文件、System文件和Security文件；S3.通过扫描DPAPI加密块特征值获取待解密文件的DPAPI加密块；S4.解析System文件和Security文件获取Pbkdf2密钥明文；S5.获取解密系统账号主密钥文件所需的关键信息，使用Pbkdf2密钥解密系统账号主密钥文件得到主密钥明文；S6.使用主密钥解密DPAPI加密块得到数据明文。本发明的有益效果为：本发明无需依赖于目标数据源所在的操作系统，也无需知道计算机的用户名和密码，即可对DPAPI系统存储区的加密数据进行解密，同时也满足对证据源只读操作和跨平台解密的需求。

主权项

一种离线解析DPAPI加密数据的方法，其特征在于，包括步骤：S1、加载待分析设备数据源，确定待分析设备数据源磁盘Windows操作系统分区；S2、根据所述操作系统分区获取系统账号主密钥文件、System文件和Security文件；S3、通过扫描DPAPI加密块特征值获取待解密文件的DPAPI加密块；S4、解析System文件和Security文件获取Pbkdf2密钥明文；S5、获取解密系统账号主密钥文件所需的关键信息，使用Pbkdf2密钥解密系统账号主密钥文件得到主密钥明文；S6、使用主密钥解密DPAPI加密块得到数据明文。