远程工具凭据的离线固定
如果你接过一台被控嫌疑的 Windows 机器，需要回答委托方最常问的那个问题——"这台机器什么时候被谁控制了、控到了哪些主机"——你并不需要解出任何密码。设备 ID、对方识别码、连接时间线这三样在多数远控工具里是明文存的，它们躺在几个配置文件和日志文件里，等着你用关键字去捞。
知识空间
加密与密码取证
BitLocker、VeraCrypt、EFS、数据库与配置加密的取证路径与授权边界。
子知识
从下级知识节点继续浏览。
知识文档
该知识空间中已整理并公开的 7 篇文档。
Passware Kit 与通用密码恢复方法论
前面几篇讨论的是加密存储：BitLocker 的 FVE metadata、EFS 的 $EFS 流、VeraCrypt 的卷头。它们有一个共同点——密钥或密钥材料留在系统的某个可利用位置上，取证是"找到它"的过程。
数据库与配置文件加密的识别与解密
"文件打不开"是取证中最常见的求助之一，但"打不开"至少有五种完全不同的原因，混为一谈会让整个处置方向跑偏：
VeraCrypt / TrueCrypt 加密卷的取证解析
VeraCrypt 是 TrueCrypt 的社区续作（基于 7.1a 代码），目前是开源领域最主要的磁盘/文件级加密容器工具。
浏览器密码库与 Token 提取
浏览器是单设备上凭据密度最高的取证目标。一个普通用户的 Chrome 里可能有上百个站点的账号密码、信用卡信息、Cookie 会话和长期有效的 API Token。在磁盘上能拿到的凭据里，它常常是最集中的一份。
EFS 文件系统加密的证书取证
EFS（Encrypting File System，透明加密文件系统）是 Windows Professional 及以上版本提供的文件级加密功能。
BitLocker 全卷加密的取证路径
BitLocker 是 Windows 内置的全卷加密方案，位置在卷层之下的透明加密层：NTFS/FAT/exFAT 照常读写，扇区落盘前被加密、读出后被解密。