买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

龙图腾网恭喜厦门市美亚柏科信息股份有限公司申请的专利一种基于内存镜像离线提取DPAPI密钥的方法和系统获国家发明授权专利权，本发明授权专利权由国家知识产权局授予，授权公告号为：CN114218128B 。

龙图腾网通过国家知识产权局官网在2025-04-01发布的发明授权授权公告中获悉：该发明授权的专利申请号/专利号为：202111521652.6，技术领域涉及：G06F12/02；该发明授权一种基于内存镜像离线提取DPAPI密钥的方法和系统是由杜鑫辉;苏再添;陈俊珊;黄志炜设计研发完成，并于2021-12-13向国家知识产权局提交的专利申请。

本一种基于内存镜像离线提取DPAPI密钥的方法和系统在说明书摘要公布了：公开了一种基于内存镜像离线提取DPAPI密钥方法和系统，包括加载内存镜像，从内存镜像中获取系统版本信息，提取lsass.exe进程的minidump；在lsasrv.dll内存范围分别以对应系统版本LogonSessionSign表的标志位的不同偏移进行SearchSignApplyOffset操作获取LogonSessionList和LogonSessionCount；根据不同的系统版本在对应的动态链接库内存范围以CachedMasterKey结构获取各个LogonSession对应的CacheMasterKey；在lsasrv.dll内存范围分别以对应系统版本DecryptKeySign表的标志位的不同偏移进行SearchSignApplyOffset操作获取16字节的IV和Key3DES，对Key3DES进行SearchSignApplyOffset操作获取KeyAES；根据CacheMasterKey、Key3DES、KeyAES和IV解密获得各个LogonSession对应的MasterKey。本发明具有免密获取、适用性好、成功率高的特点。

本发明授权一种基于内存镜像离线提取DPAPI密钥的方法和系统在权利要求书中公布了：1.一种基于内存镜像离线提取DPAPI密钥的方法，其特征在于，包括：S1：加载内存镜像，从所述内存镜像中获取系统版本信息，提取lsass.exe进程的minidump；S2：在lsasrv.dll内存范围分别以对应系统版本LogonSessionSign表的标志位的不同偏移进行SearchSignApplyOffset操作获取LogonSessionList和LogonSessionCount，所述SearchSignApplyOffset操作具体为：搜索标志位，获取一位置SignBase，偏移SignOffset字节，以小端格式读取4字节无符号长整数记做Offset，结果为SignBase+SignOffset+4+Offset；所述LogonSessionSign表中一个系统版本的标志位对应存在偏移0和偏移1两个偏移信息；S3：根据不同的系统版本在对应的动态链接库内存范围以CachedMasterKey结构获取各个LogonSession对应的CacheMasterKey；S4：在lsasrv.dll内存范围分别以对应系统版本DecryptKeySign表的标志位的不同偏移进行SearchSignApplyOffset操作获取16字节的IV和Key3DES，对所述Key3DES进行SearchSignApplyOffset操作获取KeyAES，所述DecryptKeySign表中一个系统版本的标志位对应存在偏移0、偏移1和偏移2三个偏移信息；S5：根据CacheMasterKey、Key3DES、KeyAES和IV解密获得各个LogonSession对应的MasterKey；所述步骤S2具体包括：在所述lsasrv.dll内存范围以对应系统版本LogonSessionSign表的标志位，偏移0作为SignOffset进行SearchSignApplyOffset操作，获取LogonSessionAddressList，再根据LogonSession结构获取登录会话列表的信息LogonSessionList；在lsasrv.dll内存范围以对应系统版本LogonSessionSign表的标志位，偏移1作为SignOffset进行SearchSignApplyOffset操作，获取LogonSessionCount；所述步骤S4具体包括：在所述lsasrv.dll内存范围以所述DecryptKeySign表的标志位中偏移0作为SignOffset进行SearchSignApplyOffset操作得到16字节的IV；在所述lsasrv.dll内存范围以所述DecryptKeySign表的标志位中偏移1作为SignOffset进行SearchSignApplyOffset操作得到DecryptKey结构中的DecryptHandleAddress，再根据DecryptKey结构读取得到一个密钥Key3DES；将SignOffset替换为所述DecryptKeySign表对应的偏移2，重复进行SearchSignApplyOffset操作，得到KeyAES。

如需购买、转让、实施、许可或投资类似专利技术，可联系本专利的申请人或专利权人厦门市美亚柏科信息股份有限公司，其通讯地址为：361000 福建省厦门市思明区软件园二期观日路12号102-402单元；或者联系龙图腾网官方客服，联系龙图腾网可拨打电话0551-65771310或微信搜索“龙图腾网”。