勒索病毒数据恢复的四条路线
现代勒索用的是 AES-256 + RSA 混合加密，暴力破解在数学上不可行。恢复的全部出路只有四条，按成功率和优先级排：
路线一：备份恢复（正道，最快最稳）
离线/异地备份还原：NAS、移动硬盘、磁带库——勒索软件加密不到拔了线的备份，这是唯一能"满血复活"的路。云快照/云备份：磁盘快照是救命稻草。Windows 卷影副本（VSS）：勒索软件通常会先删 VSS，但有的版本删不干净——值得先查。数据库自身备份链：SQL Server 的 .bak、MySQL 的 binlog、Oracle 的 RMAN，备份文件在别处就能重建。虚拟机快照：虚拟化环境的快照和副本是企业标配救命手段。
路线二：免费解密（运气+技术红利）
先定位家族：勒索信内容、加密文件后缀，上传到 ID Ransomware、No More Ransom 网站识别是哪家哪代。再查免费解密工具：No More Ransom 项目（Avast、Emsisoft、卡巴斯基、Bitdefender 联合维护）收录了大量解密工具——GandCrab、TeslaCrypt、部分 STOP/Djvu 等家族都曾因加密漏洞被攻破。警方缴获密钥也会公布（REvil、Conti 事件都救活过大批受害者）。还有个真实发生过的翻盘案例：某些家族偷懒给所有受害者用同一个公钥，只要拿到任何一个受害者的解密密钥，全盘都能解开。
路线三：技术恢复（数据恢复公司的主战场）
无备份无解密工具时的三条技术线：1. 加密覆盖率低下的残留恢复——不少勒索软件只加密文件前部（如前 1MB）或按大小选择性加密，文件结构修复、头部重组能救回一部分。2. 双文件机制的空窗——加密过程是"写新加密文件+删原文件"，原文件数据还躺在磁盘空闲区，底层扇区扫描能抢回没被覆盖的部分（对机械盘有效，对开了 TRIM 的固态基本无效）。3. 数据库专项——SQL Server 的 MDF 里加密页和未加密页混杂，结合备份、日志、坏页隔离逐层剥离；MySQL 从 binlog 和 ibd 残留里抠。另外内存取证是"以小博大"的机会：加密进程的内存里可能残留密钥材料，第一时间做内存镜像，专业团队有时能挖出解密线索。
路线四：谈判赎金（最后手段，有讲究）
通过中间人谈判降价、买解密工具确实存在，但铁律是先验货再付钱：拿到工具先解密几个样本文件验证，再谈尾款。风险必须讲明：付了不保证给真工具、对公流水有合规风险、部分司法辖区支付赎金涉嫌违法、助长产业链。
评估顺序
备份 → 免费解密 → 技术恢复 → 谈判，永远按这个顺序走。鉴定家族这步往往直接决定结果——一半以上的案例，鉴定完就有免费工具，根本不用花钱。
常见问题
勒索病毒加密的数据能解开吗？
四条路：有备份直接还原；命中免费解密工具（先鉴定家族）；走技术恢复从残留数据里抢；最后才是谈判赎金。前两条不花钱，第三条看现场，第四条能不走就不走。
No More Ransom 是什么？
由安全厂商和执法机构联合运营的免费解密项目，收录了上百个勒索家族的解密工具，受害者上传勒索信或加密文件即可查询是否有免费解密方案。
勒索病毒为什么有的文件能解开有的不能？
取决于加密覆盖率和文件结构：只加密文件前部的（如前 1MB）可以修复重组；全加密的只能靠解密工具；小文件往往整个加密，大文件可能只加密一部分。
解密工具会把文件解坏吗？
家族或版本鉴定错了，对不上的解密工具会把能解的文件也解坏——所以必须先鉴定后动手，且所有尝试在文件副本上进行。
固态硬盘上中了勒索病毒还能技术恢复吗？
难度比机械盘大得多：固态的 TRIM 机制会后台清零已删除区域，"原文件残留"这条技术路线基本失效。主要指望备份和免费解密。