【技术揭秘】用Bitpixie漏洞破解BitLocker加密！完整流程+深度解读

睿海 网络安全与取证研究 2025-04-30 00:01

点击蓝字关注我们前言 | 硬盘加密≠绝对安全！      在信息安全领域，BitLocker加上TPM硬件保护被认为是极其可靠的加密方案。然而，随着Bitpixie漏洞的公开，我们发现：在特定条件下，BitLocker的防线也能被突破！本文将带你一步步了解：什么是BitLocker、TPM、PXE启动Bitpixie漏洞揭秘实战完整漏洞利用流程防护建议跟着我，一起探索这次硬核的漏洞利用之旅！什么是BitLocker、TPM和PXE启动？➡  BitLocker：微软推出的全盘加密功能，保护硬盘数据。➡  TPM（Trusted Platform Module）：硬件安全模块，用于存储敏感密钥,保护BitLocker密钥不被泄露。简单来说：BitLocker加密密钥存储在硬盘上这个密钥本身被TPM硬件再次加密保护正常情况下，外部攻击者很难直接拿到密钥➡  PXE启动的全称是Preboot Execution Environment（预启动执行环境），是一种允许计算机通过网络启动操作系统而无需依赖本地存储设备（如硬盘、光驱等）的技术。Bitpixie漏洞揭秘      Bitpixie漏洞利用了Windows启动管理器在特定恢复流程中未能从内存中清除加密密钥的缺陷。攻击者可通过将启动加载程序降级到较旧的、易受攻击的版本，绕过安全启动机制，从而提取BitLocker的卷主密钥（VMK）。一句话理解：Bitpixie漏洞允许我们在某些设备上,利用网络启动(PXE 启动)过程中内存未清除的漏洞，提取出BitLocker密钥！更详细来说：Windows热启动后内存不完全清空；网络启动（PXE Boot）模式下，内存依然有遗留；通过制作自定义系统镜像以PXE模式启动系统，从残留的内存中提取出BitLocker密钥！实施攻击的前提条件：为了实施这种攻击，加密的计算机必须满足一定的要求。必须使用无需预启动身份验证的 BitLocker。必须能够以 PXE 模式启动。理想情况下，BIOS 中未禁用 PXE 启动选项。在某些系统上，即使禁用了 PXE 启动，此攻击也可能有效，因为可以通过连接外部网卡来启用 PXE 启动。PCR  Validation Profile(（平台配置寄存器验证配置文件)不得包含4。实战！一台PC一个U盘绕过Bitlock加密01攻击流程简述➡ PE系统启动目标，使用脚本提取BCD（启动配置数据）文件；➡ 使用修改过的BCD文件通过PXE启动目标电脑，进入网络系统；➡ Linux系统执行漏洞脚本，从内存中提取VMK数据；➡ 利用VMK数据生成BitLocker恢复秘钥；➡ 解锁硬盘，访问数据！02环境准备Bitpixie工具集（GitHub上有源码，需自行搜索编译）编译结果如下图：准备网络服务器软件03漏洞利用过程（1）获取源系统BCD并打补丁将WePE系统拷贝到ventoy制作的u盘中，同时将提取脚本拷贝到U盘，插入目标机器进入PE系统。（2）执行脚本，会提取到BCD文件（3）进入网络系统提权内存将生成的BCD_modded文件改名并放到编译完成的linux目录中，然后部署网络系统。重点来了，电脑重启从网络启动linux系统。执行exploit命令，生成vmk.dat文件，将文件拷贝到U盘。（4） 解密分区再次进入之前制作的PE系统，打开命令行执行如下命令（不同目标机分区可能有区别）cmd>diskpartDISKPART> list diskDISKPART> select disk 0DISKPART> detail diskDISKPART> list partitionDISKPART> select partition 3DISKPART> detail partition……字节偏移: 290455552……DISKPART> exit将生成的vmk.dat文件 使用 dislocker-metadata生成恢复秘钥，命令如下：dislocker-metadata.exe -V \.\PhysicalDrive0 -o 290455552 -K vmk.dat……Sun Apr 27 19:12:21 2025 [INFO] Recovery password: 715011-402600-410058-440176-269643-352165-654797-191521双击加密分区，输入恢复密钥，得到解密的分区防护建议（务必收藏！）为了避免Bitpixie类似攻击，推荐以下防护措施：✅ 开启Secure Boot；✅ 设置BIOS密码，禁止修改启动项；✅ 启用预启动身份验证，配置BitLocker 使用预启 动PIN；✅ 禁用PXE网络启动功能；✅ 定期更新BIOS固件和Windows补丁。