win7找回丢失的efs加密文件

当扫描完成后，Easy

会列出所有可以恢复的文件信息。看着数量众多的文件信息，小梁有点不知所措。“不急，我们可以根据和密钥文件相关的关键字，顺藤摸瓜找到

所需的密钥文件来。”老徐毕竟经验丰富，之间他在在文件恢复窗口中点击“查找”按钮，在搜素窗口中输入

“RSA”，“”，“”，“”等关键字信息，很快，就搜索到了与之相关的一些文件夹。老徐勾选所有找

到的文件夹，将其恢复到正常状态。之后经过简单的甄别，从中找到了上述三个密钥文件夹，将其完整复制到优盘上，作为恢复EFS加密文件的依据。“注意，从

这些文件夹中我们可以读取SID和RID值”，老徐提醒小梁，“你看，对于‘C:\

\\

Data\\Protect\S-1-5-21-****-****-****-500’文件夹来

说，其显示SID为‘S-1-5-21-****-****-****’，RID为‘500’。顺便提一下，在恢复上述

文件夹过程中，需要一定的耐心哦。除了使用Easy

Recovery搜索功能寻找目标文件夹，也可以手工搜索这些文件夹。一种恢复软件不行，可以更换另一种反删除工具继续尝试，不要轻易放弃哦！”老徐如数

家珍的说，“例如EasyRecovery，Finaldata，Easy

Undelete，R-Studio等，都是很好用的反删除工具。”

恢复EFS加密文件

“哈

哈，终于找到了这些可爱的密钥文件，我的加密文件有救了！”小梁几乎要欢呼起来，“赶快将这些密钥文件复制到C盘，我要拥抱我的加密文件。”“急什么，事

情没那么简单！如果只是将这些密钥文件夹简单复制回来，是无法正常打开原来的EFS加密文件的。我们必须构建一个解密账户，才能顺利找回EFS加密文件。

我们已经知道了原账户的SID标识符。因此，首先需要让当前系统的SID值和原系统“看齐”才行”，老徐一边说一边运行了Newsid这款小工具，在其

“ChooseaSID”窗口（如图2）中选择“Specify

SID”项，输入获得的SID字符串，点击“Next”按钮，完成SID的修改操作。

“修

改RID值有点复杂，需要拥有SYSTEM账户权限，还要我有PsExec这个好用的小工具！”，老徐经常倒腾系统，对这些操作早已十分熟悉。只见他将

“Psexec.exe”复制到系统文件夹中，之后在CMD窗口中执行命令“psexec-i-d-s

%windir%\regedit.exe”，回车后自动打开注册表编辑器。“看，咱们已经使用SYSTEM账户的身份运行注册表编辑器了。”老徐在其中

展开“HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names”分支，“小梁你看，RID标识

符为500，将其转换成16进制就是1F4，前部补零后为01F4。数据在磁盘存储应该翻转归来，实际数值就变成了F401。在上述注册表分支右侧窗口双

击“F”键值名，在弹出窗口（如图3）中的“数值数据”栏中找到“0048”偏移量，将其数值更改为F401”就OK了”。

“终

于搞定了，你的加密文件就要重见天日了！”老徐高兴的说，“因为您前后使用的都是Administrator账户，操作起来就简单多了。”“以前的登录密

码记得吗？”老徐问小梁。“当然记得”，小梁答道。老徐很快将Administrator密码进行了修改，使其与以前密码完全一致。之后老徐随便对一个文

件进行了EFS加密，同时将恢复好三个密钥文件夹复制到对应位置。重新启动系统后，使用原密码登录系统后，小梁终于可以顺利的读取这些宝贵的EFS加密文

件了。老徐告诉小梁：“如果是非管理员账户，必须先在管理员账户环境中完成对应账户的创建操作，之后使用该账户登录系统，使用EFS加密技术随意加密一个

文件。然后注销更换到管理员账户环境中，将上述恢复的三个密钥文件夹复制到对应位置，重启电脑并使用该账户登录系统，才可以正常访问原先的EFS加密文

件。”最后，老徐语重心长的告诫小梁：“使用上述方法虽然找回了加密文件，不过只是无奈之举，存在很大的风险。这一次还算咱们的运气比较好，总算恢复了密

钥文件。否则的话，EFS加密文件是无法恢复的。切记，使用EFS加密文件，一定要事先做好证书和密钥的导出操作，这样即使重装系统，也可以快速导入密

钥，顺利访问加密文件，再也不必费时费力的折腾了！”

小

提示：要想顺利解密EFS文件，必须事先运行“certmgr.msc”程序，在证书管理窗口左侧选择“个人”→“证书”项，在右侧窗口中选择目标账户

名，在其右键菜单上点击“所有任务”→“导出”项，在操作向导帮助下，导出密钥和证书文件。当系统重装后，双击导出的密钥文件（后缀为“.pfx”），按

照提示导入密钥信息，就可以顺利访问EFS加密文件了。