引言
在数字取证和系统应急响应领域，调查人员经常面临一个棘手的问题：如何在不破坏原有数据的前提下，快速进入一台被密码锁定的计算机并提取关键证据。Elcomsoft System Recovery（以下简称 ESR）正是为解决这一问题而设计的可启动取证工具。它运行在基于 Windows PE 的预配置环境中，集磁盘镜像、密码恢复、加密卷处理和系统日志分析于一体，为现场调查和实验室分析之间搭建了一座高效桥梁。
取证级磁盘镜像与写保护机制
ESR 的核心设计理念之一是维护数字证据的监管链。工具默认启用写保护模式，以只读方式访问目标计算机的磁盘，确保在取证过程中不会对原始数据造成任何修改。调查人员若需执行密码重置等管理操作，必须明确取消”只读”复选框，这一设计从机制层面防范了误操作风险。
在磁盘镜像方面，ESR 支持将目标磁盘制作成行业标准的 E01 格式镜像，也可输出为 RAW/DD 格式。镜像过程中同步计算哈希值并单独保存，后续可随时对证据进行校验比对。E01 格式的采用意味着镜像文件可直接导入第三方取证工具进行深度分析，无需额外转换步骤。这种可验证的镜像工作流，使 ESR 成为硬件写保护器之外的一种灵活替代方案。
Windows 账户密码恢复与重置
据统计，约 40% 的 IT 支持请求与忘记密码或账户锁定有关。ESR 提供了两种处理方式：即时重置（瞬间清除密码使账户可登录）和可配置攻击（尝试恢复原始密码）。即时重置适用于快速恢复系统访问的场景，而密码恢复则更适合需要获取原始凭据的取证调查。
在账户覆盖面上，ESR 支持本地 Windows 账户、域账户、Microsoft Entra ID 和 Microsoft Account 等多种身份类型。系统兼容范围从早期的 Windows NT、2000、XP、Vista 到最新的 Windows 11 及 Windows Server 2025，同时兼容 32 位和 64 位架构。对于旧版 Windows 中的 SYSKEY 启动密码，ESR 同样提供了重置能力，并在执行前自动检查操作对系统的安全性影响。
在攻击策略方面，ESR 支持加载自定义字典进行高性能字典攻击，并可配置最多四层变异规则，以应对复杂的密码模式。
加密卷处理能力
随着全盘加密的普及，取证人员越来越多地面对受 BitLocker、FileVault 2 等加密保护的设备。ESR 在加密卷处理上提供了自动化辅助：启动后自动检测加密卷，提取破解密码所需的哈希数据并保存至启动 U 盘，省去了传统工作流中先全盘镜像再提取哈希的耗时步骤。此外，ESR 还能提取并保存休眠文件，其中可能包含加密密钥，可用于即时挂载加密卷或离线解密。
在高科技犯罪调查中，加密虚拟机正成为一种常见的隐匿手段。ESR 能够自动发现多种类型的加密虚拟机，并捕获其加密元数据，为后续在 Elcomsoft Distributed Password Recovery 中发起密码攻击提供必要条件。自 7.2 版本起，ESR 还将 macOS 设备纳入支持范围，可创建启动 U 盘引导 Mac 电脑，从 HFS+ 和 APFS 格式的 FileVault 2 加密卷中提取哈希数据。
SRUM 数据库与事件日志分析
Windows 自 8 起内置的系统资源使用监视器（SRUM）数据库，是数字取证中一个常被忽视却价值极高的证据源。该数据库持续记录过去 30 天内应用程序运行历史、网络连接详情、CPU 与磁盘 I/O 使用情况等数据，甚至包括已卸载软件的活动痕迹。每条网络记录还关联了外发 IP 地址和端口号，为追踪可疑外联流量提供了关键线索。
ESR 自 8.32 版本起内置了 SRUM 数据库解析功能，位于”取证工具”模块中。工具会自动检测并加载系统唯一的 SRUM 数据库文件，以可读格式直接展示应用程序启动记录、网络活动和资源消耗信息。调查人员可按事件类型筛选数据，并导出纯文本报告。除 SRUM 外，ESR 还集成了 Windows 事件日志查看器，可快速浏览 EVTX 日志中的登录尝试、设备连接和软件安装等系统活动记录。
可启动环境与操作方式
ESR 的使用不依赖目标系统的操作系统状态。用户只需在正常工作的计算机上通过工具向导创建启动 U 盘或 DVD 光盘，镜像基于定制化的 Windows PE 环境构建，预置了针对主流和新硬件平台的驱动程序，同时支持 32 位和 64 位 UEFI 及传统 BIOS 启动。启动后呈现标准的 Windows 图形界面，无需接触命令行操作，降低了使用门槛。
典型应用场景
综合来看，ESR 适用于以下几类场景：现场取证中执行符合法庭要求的证据采集与磁盘镜像；企业内部 IT 运维中快速恢复被锁定账户的系统访问权限；数字取证实验室中对加密设备进行预处理，为后续密码破解和分析提供输入数据；以及事件响应中通过 SRUM 和事件日志快速重建用户活动时间线。
版本、授权与采购注意事项
ESR 属于 ElcomSoft 取证工具链中的重要一环，与 Forensic Disk Decryptor、Distributed Password Recovery 等产品协同使用时能够覆盖从证据采集到密码破解的完整取证流程。不同版本在加密卷类型支持和分析功能上存在差异，例如 SRUM 解析功能需 8.32 及以上版本，macOS 支持需 7.2 及以上版本。授权方式通常按许可证数量计算，具体的报价和授权条款建议通过正规渠道向厂商或授权代理商核实，在采购前应明确所需的功能版本、部署数量以及是否需搭配其他取证工具联合使用。
