Windows 10环境下如何从已恢复的加密删除文件中获取原始内容

你遇到的是NTFS EFS加密文件的备用数据流丢失问题。Windows EFS加密并非仅加密文件主数据内容，还会在文件的NTFS备用数据流中写入$EFS元数据，记录加密所用的证书指纹、对称密钥密文等核心信息。普通数据恢复工具仅能恢复文件的主数据流内容，无法恢复丢失的$EFS流，系统会将加密后的二进制内容识别为普通文件，直接读取就会显示为乱码。后续移入其他加密文件夹时，系统会默认对识别为「普通文件」的内容执行二次EFS加密，进一步破坏原始加密结构。

• 第一步：先停止所有对该外接硬盘的写入操作，避免原始数据被覆盖。将所有恢复出来的文件全部复制到未启用EFS加密的NTFS分区做独立备份，后续所有操作都在备份文件上执行，不要直接修改源盘文件。
• 第二步：手动标记EFS加密属性
  要让系统识别文件为EFS加密格式，需要先给文件补加加密属性标记。打开管理员权限的命令提示符，执行以下命令：
  cipher /E 目标文件完整路径
  执行完成后右键查看文件属性-高级，确认「加密内容以便保护数据」选项已被勾选。如果是批量文件，可在存放备份文件的文件夹根目录执行cipher /E /S:.批量标记加密属性。
• 第三步：执行解密操作
  你当前使用的是加密时的同一设备且密钥匹配，补加EFS属性后直接执行解密命令即可提取原始明文：
  cipher /D 目标文件完整路径
  批量解密可执行cipher /D /S:.。
• 第四步：处理已被二次加密的文件
  如果文件已经被移入其他加密文件夹做了二次加密，先对文件执行一次解密操作解开第二层加密，拿到第一层原始EFS加密内容后，再重复第二步、第三步操作即可尝试恢复原始内容。

• 如果执行命令后提示「找不到解密证书」，可运行certmgr.msc，在「个人-证书」路径下查找预期用途为「加密文件系统」的证书，确认和加密时使用的证书一致。如果证书已丢失且无备份，无法恢复文件内容。
• 上述操作仅适用于恢复出来的主数据流为完整原始EFS加密内容的情况，如果恢复的文件本身存在数据块损坏，解密后可能出现内容不完整的问题。

内容的提问来源于stack exchange，提问作者Andrea