公开(公告)号：CN114218128A

公开(公告)日：2022-03-22

申请号：CN202111521652.6

申请日：2021-12-13

Applicant: 厦门市美亚柏科信息股份有限公司

Inventor： 杜鑫辉 ,  苏再添 ,  陈俊珊 ,  黄志炜

IPC: G06F12/02 ,  G06F21/60 ,  G06F21/62 ,  G06F21/45

Abstract: 公开了一种基于内存镜像离线提取DPAPI密钥方法和系统，包括加载内存镜像，从内存镜像中获取系统版本信息，提取lsass.exe进程的minidump；在lsasrv.dll内存范围分别以对应系统版本Logon Session Sign表的标志位的不同偏移进行Search Sign Apply Offset操作获取Logon Session List和Logon Session Count；根据不同的系统版本在对应的动态链接库内存范围以Cached Master Key结构获取各个Logon Session对应的Cache Master Key；在lsasrv.dll内存范围分别以对应系统版本Decrypt Key Sign表的标志位的不同偏移进行Search Sign Apply Offset操作获取16字节的IV和Key3DES，对Key3DES进行Search Sign Apply Offset操作获取Key AES；根据Cache Master Key、Key3DES、Key AES和IV解密获得各个Logon Session对应的Master Key。本发明具有免密获取、适用性好、成功率高的特点。

公开(公告)号：CN115858455A

公开(公告)日：2023-03-28

申请号：CN202211422622.4

申请日：2022-11-15

Applicant: 厦门市美亚柏科信息股份有限公司

Inventor： 杜鑫辉 ,  苏再添 ,  邵炳阳 ,  黄志炜 ,  钟汉智 ,  陆梦婷

IPC: G06F16/11 ,  G06F16/14

Abstract: 本发明提供了一种实现稀疏文件迁移的方法、装置及存储介质，该方法包括：S1，使用驱动程序读取稀疏文件的源文件，根据源文件的元数据将源文件的数据区映射成一个虚拟的目标稀疏文件；S2，使用驱动程序监听对目标稀疏文件的读和/或写操作，将对目标稀疏文件的读和/或写操作映射到对源文件的读和/或写操作；S3，驱动程序保持监听对目标稀疏文件的读和/或写操作，直到收到退出信号，解除所述映射，并根据所映射的对源文件的读和/或写操作更新所述源文件。利用上述技术方案，可在使得稀疏文件可以任意迁移而不会失去稀疏的特性。

公开(公告)号：CN117171100A

公开(公告)日：2023-12-05

申请号：CN202310917262.3

申请日：2023-07-25

Applicant: 厦门市美亚柏科信息股份有限公司

Inventor： 苏再添 ,  杜鑫辉 ,  陈晓强 ,  苏步发

IPC: G06F16/11 ,  G06F16/174 ,  G06F16/17

Abstract: 本发明公开一种基于虚拟文件系统的小文件动态聚合方法、装置及可读介质，响应于确定存在存储载体，打开存储载体，获取文件的操作句柄，在操作句柄的句柄表中读取幻数，响应于确定幻数合法，读取存储载体的初始化信息并进行反序列化，得到初始化信息结构；基于初始化信息结构创建物理文件系统实例，构建从第一集合到第二集合的映射关系，第一集合和第二集合的元素均包括读取、写入、更新；构建挂载点，根据主机文件系统特性构建存储载体中存放的目录结构，获取操作系统对挂载点的文件操作并进行拦截；通过映射关系查找文件操作在第二集合中对应的元素并进行调用，将对应的元素操作的对象重定向为存储载体，能实现海量小文件的实时动态读写及聚合。

公开(公告)号：CN114218128B

公开(公告)日：2025-04-01

申请号：CN202111521652.6

申请日：2021-12-13

Applicant: 厦门市美亚柏科信息股份有限公司

Inventor： 杜鑫辉 ,  苏再添 ,  陈俊珊 ,  黄志炜

IPC: G06F12/02 ,  G06F21/60 ,  G06F21/62 ,  G06F21/45

Abstract: 公开了一种基于内存镜像离线提取DPAPI密钥方法和系统，包括加载内存镜像，从内存镜像中获取系统版本信息，提取lsass.exe进程的minidump；在lsasrv.dll内存范围分别以对应系统版本Logon Session Sign表的标志位的不同偏移进行Search Sign Apply Offset操作获取Logon Session List和Logon Session Count；根据不同的系统版本在对应的动态链接库内存范围以Cached Master Key结构获取各个Logon Session对应的Cache Master Key；在lsasrv.dll内存范围分别以对应系统版本Decrypt Key Sign表的标志位的不同偏移进行Search Sign Apply Offset操作获取16字节的IV和Key3DES，对Key3DES进行Search Sign Apply Offset操作获取Key AES；根据Cache Master Key、Key3DES、Key AES和IV解密获得各个Logon Session对应的Master Key。本发明具有免密获取、适用性好、成功率高的特点。