Passware Kit Forensic 能够在定制的 WinPE 环境下，直接针对加密文件或系统进行密码恢复操作。要实现这一功能，只需提前将软件集成至 PE 系统，手动导入需要处理的目标文件，并合理配置字典与破解参数后便可启动恢复进程。

若您在 WinPE 环境下需要对加密文件或系统账户密码进行恢复，Passware Kit Forensic 可作为专业的取证工具来执行恢复任务。以下为详细的操作步骤：

一、确认 PE 环境已集成 Passware Kit Forensic

使用前，必须先将 Passware Kit Forensic 集成至您定制好的 WinPE 系统中，否则软件将无法直接运行。因为标准的 WinPE 默认并未包含该程序，需要使用专门的集成工具（如 WinBuilder 或 DISM）将其主程序、依赖库以及必要的证书文件注入 PE 镜像。

1、启动 PE 系统后，首先检查桌面上或 “Program Files” 目录下是否存在Passware Kit Forensic文件夹。

2、打开资源管理器，导航至软件安装路径，确认PWKitForensic.exe可执行文件存在且未被系统标记为“不兼容”。

3、双击运行前，建议右键选择“以管理员身份运行”，以避免因 PE 中 UAC 模拟权限限制导致权限不足而闪退。

二、加载目标加密对象并选择恢复模式

Passware Kit Forensic 支持多种加密格式的识别与攻击方式，您需要根据目标的类型手动指定解析逻辑，软件不会自动侦测。在 PE 环境下，由于缺乏网络验证通道，所有恢复过程均依赖本地的算法模块完成。

1、启动 PWKitForensic.exe 后，在主界面点击“Add”按钮，浏览并导入您需要破解的目标文件（例如 BitLocker 恢复密钥文件、Office 文档、ZIP 压缩包、TrueCrypt 加密卷等）。

2、导入后，软件会自动显示“Supported attacks”列表，请在其中勾选适合的一项：例如对 7-Zip 加密压缩包可启用“Dictionary attack”，而对 Windows SAM 注册表文件则选用“NTLM hash brute-force”。

3、若目标为磁盘镜像文件（如 .E01 或 .dd 格式），需要先使用软件内置的“Evidence Browser”提取其中的加密分区或用户配置文件（例如 NTUSER.DAT、SAM、SYSTEM 等），之后再将其加载至任务列表。

三、配置密码恢复参数并启动破解

参数设置直接影响恢复成功率和耗时。在 PE 环境下，由于内存资源有限，应避免使用高内存占用的策略。所有字典与规则文件都需提前复制到 PE 的本地磁盘中，不可引用网络路径或外接 USB 设备（除非已映射为固定盘符）。

1、在攻击配置窗口中，点击“Wordlist”选项卡，通过“Browse”指向 PE 内已存放的字典文件（例如 rockyou.txt），并确保路径中不包含中文或空格。

2、切换至“Brute-force settings”，建议将最大密码长度设置为≤8，字符集限定为“Lowercase + Digits”，以防止因内存溢出导致 PE 系统崩溃。

3、勾选“Save recovery session”，指定保存路径为 PE 内存盘（例如 X:）根目录，这样任务中断后可重新载入进度。

4、点击“Start Recovery”，界面将转为实时状态栏，显示当前尝试速率、已用时间以及命中提示。