Passware Kit 与通用密码恢复方法论
前面几篇讨论的是加密存储：BitLocker 的 FVE metadata、EFS 的 $EFS 流、VeraCrypt 的卷头。它们有一个共同点——密钥或密钥材料留在系统的某个可利用位置上，取证是"找到它"的过程。
知识节点
应用与数据库加密
在 加密与密码取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“应用与数据库加密”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
远程工具凭据的离线固定
如果你接过一台被控嫌疑的 Windows 机器，需要回答委托方最常问的那个问题——"这台机器什么时候被谁控制了、控到了哪些主机"——你并不需要解出任何密码。设备 ID、对方识别码、连接时间线这三样在绝大多数远控工具里是明文存的，它们躺在几个配置文件和日志文件里，等着你用关键字去捞。
浏览器密码库与 Token 提取
浏览器是单设备上凭据密度最高的取证目标。一个普通用户的 Chrome 里可能有上百个站点的账号密码、信用卡信息、Cookie 会话和长期有效的 API Token。在磁盘上能拿到的凭据里，它常常是最集中的一份。
数据库与配置文件加密的识别与解密
"文件打不开"是取证中最常见的求助之一，但"打不开"至少有五种完全不同的原因，混为一谈会让整个处置方向跑偏：