BitLocker 修復金鑰 破解

正好我今天也出现了这个问题

当个参考吧

但仅限于你原本有微软账号的情况(不过既然都被锁了应该有的吧)

打开手机浏览器

进入微软官网，登录账户

点击账户

如果有搜索栏，善用(我开始是搜索的)

搜索密钥/bitlocker

根据你的密钥ID找到6×8的一串数字↓

鉴于上一步有的盆友搜索不到，所以我换了一种方式（如下）

输入

就可以进入电脑

不过又出现了新问题……

如果你非常不幸地在最后一步看到了这个白底黑字的界面

“请尝试其他 URL我们未在此链接中向你显示任何内容。请改为尝试搜索所需内容”

(悄咪咪说一句或许你需要联系bitlocker贴吧的吧主啥的，我没试过，不过遇到这问题的人是这么解决问题的…)

2.1日更新：发现前面有个链接失效了orz那我知道的办法就只有联系那个吧主了…应该是那个qq1208169900吧……其余的也爱莫能助了

(其实你选跳过开机界面应该也问题不大，就是它会锁你的系统盘以外的磁盘，因为我就是这么操作的 ）

进入之后，如果你没分区，只有一个C盘，那应该问题不大

如果你分区了，C盘以外的盘被锁了(就是我亲历的情况)就得再重复上述操作输入密钥(当然对应的ID不同)打开你的磁盘

然而还没有结束

不出意外的话，你解锁后，再重启电脑会被再锁上(刺不刺激)

此时，如果你盘里没什么重要东西，你可以直接删除分区再重建↓(这一步可以参考知乎里的分盘操作)

当然有数据的话，你得解锁备份数据再↑(我好啰嗦)

希望我这个小白能够提供一点力所能及的帮助

（毕竟我只是久病成医嘤嘤嘤）

课前提要

BitLocker加密是Windows的一种数据保护功能，主要用于解决由于计算机设备的物理丢失导致的数据失窃或恶意泄漏，能够同时支持FAT和NTFS两种格式，可以加密电脑的整个系统分区，也可以加密可移动的便携存储设备，如U盘和移动硬盘等。

BitLocker使用AES（高级加密标准/Advanced Encryption Standard）128位或256位的加密算法进行加密，其加密的安全可靠性得到了保证，通常情况下，只要密码有足够强度，这种加密就很难被破解。因此，当取证中遇到涉案的电脑、U盘等被Bitlocker加密的情况，破解加密获取涉案数据就变得尤为重要。

上课之前，先来公布上期的问题答案：阵列的块大小：32扇区；循环方向：右旋；同异步方式：同步；起始扇区：0扇区。

如有任何疑问，欢迎到文章下方留言。

一、解密思路

BitLocker加密的过程

（1）对一个磁盘进行BitLocker加密的方法很简单，打开资源管理器，在想要加密的磁盘分区上点击右键，选择“启用BitLocker”即可。（在“控制面板”-“系统和安全”-“BitLocker驱动器加密”里也可以启用和管理加密。）

（2）点击“启用BitLocker”之后，在新弹出的窗口中设置加密驱动器密码，输入完成后点“下一步”，然后选择保存恢复密钥的位置。

（3）一般来说，恢复密钥存放在USB闪存驱动器或打印出来安全系数更高，因为这样操作的话，加密驱动器与恢复密钥分离保管，安全性更好。不过实际情况中，有些时候为了省事，会将恢复密钥保存在硬盘中，这也给了我们解密的可能性。

（4）然后BitLocker就开始对整个驱动器进行加密，BitLocker对于驱动器的加密解密耗时较长，用户需要等待相当长的时间。加密完成之后，可以看到原先的磁盘图标上多了一把锁，此时表示驱动器已经加密完成。

解密思路分析

思路1：通过密码查找解密

从所有涉案介质中获取与密码相关的数据，将这些数据整理成字典后，再通过相应的解密工具解密或暴力破解，因为此方法存在很大的不确定性，所以视情况选择。

思路2：通过恢复密钥解密

◆通过BitLocker加密的过程，我们可以知道在加密设置时会产生恢复密钥，通常大家会以“保存到文件”的方式存放恢复密钥（一般不会选择注册Microsoft账户，而打印又容易丢失，所以更多时候选择保存到文件），这种方式恢复密钥会以TXT文件的方式存放到存储介质中；

◆TXT文本数据在介质中存放时，底层是以明文的方式存放的，就算是TXT被删除，只要底层数据没有被覆盖，我们就可以通过底层关键字查找、正则匹配的方式找到恢复密钥进行解密。

思路3：其它

◆在一些案件中，通过特定的涉案介质如：加密的U盘或移动硬盘，可以在相关的电脑上启动自动解锁功能，我们只需将涉案介质接到相应的电脑上即可解锁加密介质；

◆从解密过Bitlocker加密的电脑内存镜像中提取BitLocker密钥，此方法不做描述，可自行查找相应资料；

◆如有其它方法，欢迎留言探讨。

二、 案例实操

现有一涉案电脑分区被BitLocker加密，需要解密分区获取涉案数据，已经完成涉案电脑硬盘镜像。

检材：001.DD

操作软件：winhex、DRS6800数据恢复系统

解密思路：通过恢复密钥解密

1、获取镜像文件，将其加载到winhex进行全盘检索关键词“恢复密钥”（也可以检索密钥文本中的其他关键词或对密钥的规则进行正则匹配检索），步骤如下：

步骤一：为了提高搜索精准度，将采取十六进制搜索，把“恢复密钥”写入到新的TXT中，并将其另存为UTF-16 LE编码格式的TXT文本，也可以通过与涉案电脑对应的操作系统版本生成一个恢复密钥的TXT文件（通常保存的密钥TXT文件会以UTF-16 LE编码格式存放）；

步骤二：将保存有“恢复密钥”的txt文本通过winhex打开，并复制“恢复密钥”对应的十六机制数；

步骤三：通过winhex打开001.DD，并将镜像转换为磁盘；

步骤四： 通过已经复制的“恢复密钥”对应的十六机制数，对打开的001.DD镜像文件进行全盘检索，找到与恢复密钥相关的记录，进行下一步恢复密钥解密验证。

2、将前面步骤找到的恢复密钥进行解密验证，进入DRS6800数据恢复系统数据恢复模块，加载001.DD镜像，对镜像中加密分区右键，选择解锁Bitlocker，输入恢复密钥解密后，选择快速扫描即可获取加密分区数据。

三、 总结

①恢复密钥文件可能会在相关的涉案介质存放，可结合USB插拔记录等痕迹快速找到相关的介质；

②Bitlocker因操作系统的版本不同可能存在兼容性问题，如果通过Windows系统自带的Bitlocker解密时，需注意选择与涉案介质相同的操作系统版本；

③对于已经处于解密状态下的分区或USB介质，需要在解密状态下尽快完成证据固定，可以通过winhex直接打开解密分区的方式固定分区镜像。要注意的是，如果通过打开磁盘再打开分区的方式固定，分区依然会是加密状态；

④对于已经处于解密状态下的分区或USB介质，为了防止突发情况造成介质又处于加密状态，可以在解密状态下右键管理BitLocker操作备份恢复密钥文件。

四、 案例练习

请按恢复密钥的方式解密镜像中的加密分区，并给出加密分区中去重后的word文档数量。

链接：https://pan.baidu.com/s/1kq2fJpTqsLVAW5g2cjHGUw

提取码：x25u

如果您有任何想要了解的实操问题，或者在实战中难以处理的问题，都可以到“效率源”公众号留言告诉我们，我们会将大家的问题安排进栏目的后续内容。