EFS probleem, h4cker gevraagd, beloning.

mijn probleem is als volgt, windows XP pro SP2, ik heb een map met windows encrypie encrypted, nu heb ik deze map verplaatst naar mn 2e HDD, 1e HDD geformateerd. nu raad je het al, ik ben mijn sleutel / certificate kwijt en kan mijn encrypted map niet meer openen noch verplaatsen of wat dan ook.

ik heb geen backup or what so ever.

verschillende proggies geprobeerd zonder succes.

EFS key
Advanced (EFS) data recovery
geen van allen werken, nu staat er op meerdere sites dat het onmogelijk is, maar een 128 bits encryptie moet voor een h4cker te kraken zijn.

diegene die mij helpt dit probleem op te lossen krijgt een kratje bier of een een fles bacardi/wodca of iets anders naar keuze (en dan heb ik het niet over een fles van 100 euro )

Alvast bedankt.

gaarne serieuse reacties en niet met links van microsoft komen, want die zal natuurlijk niet prijsgeven hoe hun eigen encryptie te h4cken valt.
en ik weet dat ik screwed ben maar alles is mogelijk...

"Invalid hash. The hash must be made of 32 hex chars of lmhash optionnaly followed by a colon and 32 hex chars of nthash."

die hash klopt zo niet Richard.... of het is geen echte MD5

ik stuur je die hashcracker wel even in PB. hij werkt altijd perfect met het kraken van account passwords in Win32...

Uitspraak van actief op dinsdag 4 juli 2006 om 09:48:

ik stuur je die hashcracker wel even in PB. hij werkt altijd perfect met het kraken van account passwords in Win32...

Toppie thanx

op het moment dat hij er zeg maar een code uit maakt, kan ik daar dan een certificate oid van maken?!?

ervaring mee?

ik denk dat je die moet hebben ja kan je die key niet opslaan in een bestandje ?

anders hier misschien nog iets :

http://www.lostpassword.com/efs.htm

Uitspraak van actief op dinsdag 4 juli 2006 om 09:55:

ik denk dat je die moet hebben ja kan je die key niet opslaan in een bestandje ?

anders hier misschien nog iets :

http://www.lostpassword.com/efs.htmlaatste aanpassing 4 juli 2006 09:55

die proggie al geprobeerd, hij vraagd om een pwd van vorige admin/gebruiker die hem encrypted heeft, die vul ik dan in en dan kan hij hem niet decrypten.

eerst maar kijken of hij er iets mee kan dan zie ik wel wat ik moet doen met de code die eruit komt,

iig bedankt je hebt me weer op weg geholpen

succes !!

Uitspraak van actief op dinsdag 4 juli 2006 om 09:39:

ik ben niet zo heel bekend met die EFS, maar als het werkt met MD5 hashes, dan geef em maar, misschien krijg ik em gecracked

md5 is een hashing algoritme; het encrypted geen files maar genereert een 'unieke' hash uit een bit reeks. Vaak gebruikt om passwords te beschermen zodat ze niet in plaintext opgeslagen hoeven worden.

Windows XP pro sp2 gebruikt symmetrische DESX als encryptie algoritme voor de bestanden. Dit is een symmetrisch algoritme. De key (File Encryption Key) hiervoor wordt in de file zelf opgeslagen. Deze key wordt versleuteld met een asymmetrisch algoritme (RSA)

Als je het cryptografisch wilt aan gaan pakken kan je dus 2 dingen attacken:

- Het versleutelde bestand, dus de 128-bit FEK
- De public key om daar de private key uit te herleiden om zodoende de FEK te recoveren.

Met de eerste maak je denk ik het meeste kans. Zeker omdat je een deel van de plaintext weet; bijna ieder bestand heeft vaste headers. Er zullen vast wel tooltjes zijn die dit met bruteforce zouden kunnen.

Toch is het misschien slimmer om eerst even goed te kijken of er niet een methode is om toch de private key terug te halen. Er is best een kans aanwezig dat de private key of misschien wat files die geëncrypted zijn terug zijn te halen van je file system.

Probeer eens een recover tool als Encase.

dit klopt idd

dan zou het toch moeten lukken als je die public key hebt met :

http://lasecwww.epfl.ch/~oechslin/projects/ophcrack/

Rainbow tables heerschen

Ik denk dat ophcrack hiervoor niet geschikt is. ophcrack is bedoelt om hashes uit de SAM te cracken.

het enige wat ik heb is idd de public key. recover lukt helaas niet. is formatted geprobeerd een recovery maar zonder succes. de private key is echt weg.

thanx for advice

Uitspraak van eSDee op dinsdag 4 juli 2006 om 10:40:

Rainbow tables heerschen

Ik denk dat ophcrack hiervoor niet geschikt is. ophcrack is bedoelt om hashes uit de SAM te cracken.

klopt inderdaad... die ophcrack is alleen voor SAM cracks.. helaas dus in dit geval...

Uitspraak van eSDee op dinsdag 4 juli 2006 om 10:40:

Rainbow tables heerschen

heb jij toevallig tables? of weet jij een goede site, i know google

moet ik ook de special characters !@$#!^%&%* in de tables hebben kweet niet of deze gebruikt worden.

ahh gevonden. filetje van 1.5 gb

Je bent gaar ik heb dit op mijn werk mee gemaakt mijn baas dacht wel zo slim te zijn om ze files te backuppen op een 2de HDD. Dit was zijn boekhouding.....

Het is onmogelijk zonder de orginele Windows XP install waar dit opstond.
Maak daarom IMAGES van de HDD en geen files copy/paste doen.

Uitspraak van actief op dinsdag 4 juli 2006 om 09:55:

ik denk dat je die moet hebben ja kan je die key niet opslaan in een bestandje ?

anders hier misschien nog iets :

http://www.lostpassword.com/efs.htm laatste aanpassing 4 juli 2006 09:55

hmmm wellicht dat het komt omdat ik een demo version heb, heb jij toevallig full version? kan hem op newsservers niet vinden.

met torrents (o.a. www.thepiratebay.com) kan je tables van tientallen gb's vinden daar zitten dus ook die special characters in...

en ook de full version van die EFS cracker kan je daarmee leechen, wel geduld hebben vrees ik ...

good luck...

Uitspraak van verwijderd op dinsdag 4 juli 2006 om 11:19:

Je bent gaar ik heb dit op mijn werk mee gemaakt mijn baas dacht wel zo slim te zijn om ze files te backuppen op een 2de HDD. Dit was zijn boekhouding.....

Het is onmogelijk zonder de orginele Windows XP install waar dit opstond.
Maak daarom IMAGES van de HDD en geen files copy/paste doen.laatste aanpassing 4 juli 2006 11:20

ik ben het er niet geheel mee eens, dat ik gaar ben, i know, maar een 128 bits encryptie moet voor een hacker makkelijk te doen zijn.

Uitspraak van R1ch4rd op dinsdag 4 juli 2006 om 11:42:

ik ben het er niet geheel mee eens, dat ik gaar ben, i know, maar een 128 bits encryptie moet voor een hacker makkelijk te doen zijn.

Hoe kom je erbij dat 128 bits makkelijk te doen moet zijn? 128 bits encryptie (zonder flaws) is met de huidige staat van techniek praktisch nog niet te bruteforcen.

Uitspraak van narotic op dinsdag 4 juli 2006 om 11:52:

Hoe kom je erbij dat 128 bits makkelijk te doen moet zijn? 128 bits encryptie (zonder flaws) is met de huidige staat van techniek praktisch nog niet te bruteforcen.

om het feit dat mijn oude collega, die ik helaas niet kan vinden ook niet via via (tot nu toe) voor de gein zn volledige hdd op een 1024 encryptie zet. (geen windows encryptie) en vervolgens 3 weken bezig is om dit te recoveren.

nu weet ik dat dit om een andere manier van encrypten gaat maar het moet te doen zijn.

De encryptie op de files zelf is 128 bit met DESX. De sleutel is random gegeneerd en in het bestand opgeslagen. Deze sleutel is weer versleuteld met een 1024-bit assymetrische algortime.

Het komt dus op het volgende neer:

Om alle bestanden terug te krijgen:
Hiervoor moet je een attack doen op de public key van 1024 bit. Als je die sleutel heb, kan je alle bestanden decrypten omdat je dan de opgeslagen sleutel (FEK) in het bestand kan decrypten waarmee de bestanden versleuteld zijn.

Per bestand:
Op de files zelf moet je een DESX key van 128 bit breken.
Dit laaste zal cryptografisch gezien eenvoudiger zijn, alleen heeft dit als nadeel dat dit per bestand gedaan moet worden.

In beide gevallen zal het vrij veel moeite gaan kosten. Als je echt 100% zeker weet dat de private key niet ergens van de disk is te halen (een format wiped ook niet alles) zal je opzoek moeten gaan naar een tooltje die een van de 2 bovengenoemde zaken kan doen voor je. (of je moet er zelf eentje coden

Uitspraak van narotic op dinsdag 4 juli 2006 om 11:52:

Hoe kom je erbij dat 128 bits makkelijk te doen moet zijn? 128 bits encryptie (zonder flaws) is met de huidige staat van techniek praktisch nog niet te bruteforcen.

Ik denk dat in het geval van versleutelde bestanden je wel wat meer mogelijkheden heb. Je weet behoorlijk veel over de plaintext. (bijvoorbeeld de vaste headers in de bestanden) Dit kan het bruteforce process aanzienlijk versnellen.

Uitspraak van R1ch4rd op dinsdag 4 juli 2006 om 11:42:

ik ben het er niet geheel mee eens, dat ik gaar ben, i know, maar een 128 bits encryptie moet voor een hacker makkelijk te doen zijn.

hax0rs vallen meestal niet zo 'frontaal' aan; dit is meer werk voor een cryptografie-specialist. (Stuur een mail naar Bruce Schneier

Uitspraak van eSDee op dinsdag 4 juli 2006 om 12:26:

Per bestand:
Op de files zelf moet je een DESX key van 128 bit breken.
Dit laaste zal cryptografisch gezien eenvoudiger zijn, alleen heeft dit als nadeel dat dit per bestand gedaan moet worden.

OMFG LOL kheb aan 4.5 GB encrypted, (fotos en filmpjes die ik al 10 jaar verzamel, prive fototjes dus )

Uitspraak van eSDee op dinsdag 4 juli 2006 om 12:26:

In beide gevallen zal het vrij veel moeite gaan kosten. Als je echt 100% zeker weet dat de private key niet ergens van de disk is te halen (een format wiped ook niet alles) zal je opzoek moeten gaan naar een tooltje die een van de 2 bovengenoemde zaken kan doen voor je. (of je moet er zelf eentje coden

zelf een maken gaat me niet lukken hahaha, kzal nogmaals ff kijken of ik data kan recoveren. eerst maar ff alles wat ik nu op mijn schijf heb staan backupen hahaha

Uitspraak van eSDee op dinsdag 4 juli 2006 om 12:26:

hax0rs vallen meestal niet zo 'frontaal' aan; dit is meer werk voor een cryptografie-specialist. (Stuur een mail naar Bruce Schneier

Mail verstuurd

Ik zou toch even voor de zekerheid wat recovery/forensische tooltjes gebruiken om te kijken of er niet een aantal versleutelde bestanden ergens op je disk rond "zweven" die je zo nog kan recoveren.

Encase is een goed pakket hiervoor.

Uitspraak van R1ch4rd op dinsdag 4 juli 2006 om 12:38:

Mail verstuurd

Bruce zal waarschijnlijk dagelijks dit soort vragen in zijn mailbox terug vinden

zal kijken wat ik kan doen

Uitspraak van eSDee op dinsdag 4 juli 2006 om 12:47:

Encase is een goed pakket hiervoor.

ik ga gelijk ff googlen naar een full version. meeste moet je betalen, en kga niet dokken als ik niet cker weet dat het mijn probleem oplost...

Uitspraak van <<>>Hamdrol<<>> op dinsdag 4 juli 2006 om 12:52:

zal kijken wat ik kan doen

graag,

ik hoop dat jullie het ook als een leuke uitdaging zien, altijd leuk om dit soort shit op te kunnen lossen.

+ de drank zal ook welkom zijn, zeker met dit weer.

Uitspraak van R1ch4rd op dinsdag 4 juli 2006 om 12:07:

Uitspraak van narotic op dinsdag 4 juli 2006 om 11:52:
Hoe kom je erbij dat 128 bits makkelijk te doen moet zijn? 128 bits encryptie (zonder flaws) is met de huidige staat van techniek praktisch nog niet te bruteforcen.

om het feit dat mijn oude collega, die ik helaas niet kan vinden ook niet via via (tot nu toe) voor de gein zn volledige hdd op een 1024 encryptie zet. (geen windows encryptie) en vervolgens 3 weken bezig is om dit te recoveren.

nu weet ik dat dit om een andere manier van encrypten gaat maar het moet te doen zijn.

Dit is niet mogelijk ...... zelfs niet met alle systemen van het amerikaanse leger bij elkaar, duurt het nog een paar honder miljoen jaar.
Dit komt door te veel characters en mogelijkheden emt de keys. Enigste manier is een bruteforce manier of te wel de key te raden.
Dit kon gedaan worden met een woordenlijst vooraf gemaakt of door random te bruteforcen (dit is geen decrypten) dit kan 1uur duren to wel een paar honderd jaar mischien zelfs langer.

Ik weet niet wat je wilt terug halen maar als het je oude porno collectie is is het niet de moeite waard om zoiets te proberen.

kan je geen sub-containers toe eigenen in veilige modus?

Alsof in veilige modus je rechten tot die map veranderd? veilige modus betekent dat hij geen drivers en/of netwerk niet draait.

Uitspraak van verwijderd op dinsdag 4 juli 2006 om 14:41:

Alsof in veilige modus je rechten tot die map veranderd?

kan wel

inloggen als administrator kan dat

Verdacht verhaaltje

helaas kan geen full versions van die proggies vinden dus als iemand ze heeft of ze wel kan vinden mijn dank is groot.

Uitspraak van R1ch4rd op woensdag 5 juli 2006 om 21:03:

mijn dank is groot.

Bedank de programmeur en koop de volledige versie gewoon. Zal toch niet zoveel kosten

Uitspraak van verwijderd op woensdag 5 juli 2006 om 21:09:

Bedank de programmeur en koop de volledige versie gewoon. Zal toch niet zoveel kosten

als ik zeker weet dat dit het probleem zou verhelpen dan zou ik er nog over nadenken, maar als ik het niet zeker weet...

en trouwens kheb internet

Full version van Advanced (EFS) data recovery geprobeerd maar deze kan ze niet decrypten.

als die programma's ook konden decrypten had het geen nut toch.
En als je inlogt als administrator in veilige modus kan je nog steeds niet die map in.

Reden:
HET IS NIET VAN JOU volgens die computer.

Ik heb nog voor je gezocht maar kan echt niks vinden het is volgens mij vrij onmogelijk.
ik heb ook nog op me werk gevraagt en beetje research gedaan maar is onmogelijk volgens mij collega's.

hmm das erg balen. ik ga die map iig niet weggooien in de hoop dat er binnenkort wel een hack komt of iemand anders die kratje pils wil verdienen

Uitspraak van verwijderd op woensdag 5 juli 2006 om 21:09:

Bedank de programmeur en koop de volledige versie gewoon. Zal toch niet zoveel kosten

een dikke 100 euro, en het werkte niet, maar goed dat ik er geen geld aan uitbesteed heb

Uitspraak van verwijderd op dinsdag 4 juli 2006 om 13:21:

Ik weet niet wat je wilt terug halen maar als het je oude porno collectie is is het niet de moeite waard om zoiets te proberen

persoonlijke pr0n en zeker de moeite waard.

Encase nog geprobeerd?

Uitspraak van eSDee op vrijdag 14 juli 2006 om 15:26:

Encase nog geprobeerd?

kan helaas geen gratis versie vinden of crack,
tevens weet ik niet hoe ik dan mn certificate kan terug vinden.

probeer het eens via deze url http://www.sharewareriver.com/products/7645.htm

En voortaan voordat je met EFS aan de slag gaat een recovery agent key aanmaken

Indien de shareware niet helpt, kan je nog proberen de vraag neer te leggen bij microsoft, of in hun forums kijken...anyway succes

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:33:

probeer het eens via deze url http://www.sharewareriver.com/products/7645.htm

En voortaan voordat je met EFS aan de slag gaat een recovery agent key aanmaken

Indien de shareware niet helpt, kan je nog proberen de vraag neer te leggen bij microsoft, of in hun forums kijken...anyway succes

thanx, EFS Key heb ik al geprobeerd. alleen zonder succes hij zegt dat ze niet te decrypten zijn. En microsoft zal niet hun geheim op hun eigen website verklappen hoe hun code te "hacken" is

Da's kut..dan zie ik het zeer somber voor je in...

De MD5 code is niet te hacken, om even een voorbeeld te geven....rond de 300 computers hebben er bijna een jaar over gedaan om de hash code te kraken van een MD5 encrypted bestand...

En volgens mij heb jij geen 300 pc's tot je beschikking

In ieder geval, leer ervan

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:38:

Da's kut..dan zie ik het zeer somber voor je in...

daar was ik al bang voor

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:38:

En volgens mij heb jij geen 300 pc's tot je beschikking

nee toevallig niet

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:38:

In ieder geval, leer ervan

Ik leer liever van andermans fouten, en ik leer snel, hoeft niet op de harde manier te gebeuren. deze fotos hadden emotionele waarde voor mij



maar ik heb echt mijn vraagtekens of dit nu wel of niet op te lossen is. iedereen zegt im screwed, en bewezen is dat dit ook op dit moment het geval is. maar zoiets moet toch te fixen zijn?!? hmmm kwil het gewoon niet geloven

Uitspraak van R1ch4rd op vrijdag 14 juli 2006 om 15:35:

thanx, EFS Key heb ik al geprobeerd. alleen zonder succes hij zegt dat ze niet te decrypten zijn. En microsoft zal niet hun geheim op hun eigen website verklappen hoe hun code te "hacken" is

Er is geen "geheim". De encryptie algoritmes (DESX en RSA) die gebruikt worden zijn niet door Microsoft uitgevonden. De enige manier zonder de keys te moeten cracken is de key op een bepaalde manier toch nog boven water halen. Als dat niet lukt heb je een vrij groot probleem. (Zoals ik al eerder zei maakt je cryptografisch gezien nog de grootste kans om de FEK te cracken; de 128 bit DESX key, alleen moet je dat per bestand doen.)

Het verbaast me alleen dat er niet echt veel tooltjes voorhanden zijn die DESX kunnen cracken. Je heb namelijk een aantal voordelen die het cracken van zo'n key aanzienlijk kunnen versnellen. Zo heeft bijna ieder type bestand een aantal vaste headers, waardoor je dus eigenlijk de plaintext al weet.

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:38:

De MD5 code is niet te hacken, om even een voorbeeld te geven....rond de 300 computers hebben er bijna een jaar over gedaan om de hash code te kraken van een MD5 encrypted bestand...

Het gaat niet om MD5; MD5 is een hashing algoritme. EFS gebruikt DESX (128 bit) en slaat de sleutel per bestand op.
Deze sleutel wordt dan versleuteld via een asymmetrisch encryptie algoritme RSA (1024 bit).

zijn er geen mogelijkheden om dit via linux te doen? kheb hier geen verstand van

Het besturingsysteem maakt voor het cracken van de key niets uit.

Uitspraak van DarqueDiablo op vrijdag 14 juli 2006 om 15:38:

De MD5 code is niet te hacken

Er zijn overigens 'collisions' in MD5 gevonden. Erg theoretisch, maar genoeg om te zeggen dat het gebroken is.

Uitspraak van eSDee op vrijdag 14 juli 2006 om 16:00:

Er zijn overigens 'collisions' in MD5 gevonden. Erg theoretisch, maar genoeg om te zeggen dat het gebroken is.

ok dat is goed nieuws voor mijn probleem?

Nee, EFS gebruikt geen MD5

MD5 is bedoelt om 'hashes' te maken over een bitreeks. MD5 versleutelt geen data verder. MD5 wordt bijvoorbeeld toegepast om wachtwoorden op te slaan. MD5 genereert een unieke 'waarde' die niet terug te rekenen is.

Een 'collision' houdt in dat 2 verschillende bitreeksen dezelfde hash genereren. Op zich zullen die in ieder hashing-algoritme voorkomen, maar als het uit te rekenen valt op een manier wordt het algortime in cryptografische kringen als 'gebroken' beschouwd.

MD5 heeft verder niks met jouw probleem te maken.

Het enige advies wat ik kan geven voor jouw probleem, (wat imho de meeste kans maakt) is de 128-bit DESX - FEK cracken per bestand. (wat een hele langdurige bezigheid is, maar nog altijd beter dan de 1024-bit key)

Ik zal even verder zoeken of ik ergens een opensource DESX cracker kan vinden (cryptografie is niet mijn sterkste kant) wellicht kan ik hem ombouwen voor je dat hij EFS bestandjes kan cracken.

Ik heb alles wat hier staat geprobeerd maar zonder succes, zijn er nog andere ideeen om mijn bestanden terug te krijgen?

Windows 2000 Recovery Agent?