即使2016年往后的无效签名证书，仍能在新版Windows 10上加载

显示全部楼层 · 发表于 2022-7-28 00:31:19

本帖最后由 00006666 于 2022-7-28 00:32 编辑

神龟Turmi 发表于 2022-7-28 00:19
那个期限是证书的签发日期不是签名到驱动程序上的日期

话说类似之前域联那类的签名，不是都要改系统时间到有效期内才能签的？这个驱动时间戳看起来很新，是伪造的么？

显示全部楼层 · 发表于 2022-7-28 00:31:43

本帖最后由 ANY.LNK 于 2022-7-28 00:39 编辑

神龟Turmi 发表于 2022-7-28 00:19
那个期限是证书的签发日期不是签名到驱动程序上的日期

该证书的有效期限是2012.12.6-2013.12.7，所以Windows是以这个为依据判断的吗？

补充，原本文件的时间戳是2013年（发布日期是2022年）的，不过这个会随解压而变

显示全部楼层 · 发表于 2022-7-28 00:33:26

00006666 发表于 2022-7-28 00:31
话说类似之前域联那类的签名，不是都要改系统时间到有效期内才能签的？

印象里有那种不需要改系统时间也能签名无效证书的工具

显示全部楼层 · 发表于 2022-7-28 00:34:13

ANY.LNK 发表于 2022-7-28 00:33
印象里有那种不需要改系统时间也能签名无效证书的工具

如果是这样的话，可能它这个时间戳也是伪造的

显示全部楼层 · 发表于 2022-7-28 00:41:19

00006666 发表于 2022-7-28 00:34
如果是这样的话，可能它这个时间戳也是伪造的

大概是伪造的，这东西实际出现的时间比它时间戳上的时间要晚得多

显示全部楼层 · 发表于 2022-7-28 00:43:05

ANY.LNK 发表于 2022-7-28 00:41
大概是伪造的，这东西实际出现的时间比它时间戳上的时间要晚得多

那作者那边应该是有特殊工具可以签过期签名然后伪造时间戳，那这个驱动能加载的原因就找到了

显示全部楼层 · 发表于 2022-7-28 00:50:50

00006666 发表于 2022-7-28 00:31
话说类似之前域联那类的签名，不是都要改系统时间到有效期内才能签的？这个驱动时间戳看起来很新，是伪造 ...

windows不校验sha1签名的有效期

显示全部楼层 · 发表于 2022-7-28 00:51:23

ANY.LNK 发表于 2022-7-28 00:31
该证书的有效期限是2012.12.6-2013.12.7，所以Windows是以这个为依据判断的吗？

补充，原本文件的时间 ...

windows不校验sha1签名的有效期不伪造也可以用（至少对驱动可以 UAC没试过）

显示全部楼层 · 发表于 2022-7-28 00:53:53

本帖最后由 00006666 于 2022-7-28 00:55 编辑

神龟Turmi 发表于 2022-7-28 00:51
windows不校验sha1签名的有效期不伪造也可以用（至少对驱动可以 UAC没试过）

那没打时间戳的话会不会显示成已被吊销的签名 (假如该泄露签名已经被吊销) ?

显示全部楼层 · 发表于 2022-7-28 01:00:55

00006666 发表于 2022-7-28 00:53
那没打时间戳的话会不会显示成已被吊销的签名 (假如该泄露签名已经被吊销) ?

sha1签名也无法吊销 windows不会校验sha1签名的吊销状态（即使开启了安全启动）
作为补救措施开启内核隔离之后会校验sha1签名的时间戳和吊销状态
但是不开启内核隔离的情况下大概率是不会改了

[讨论] 即使2016年往后的无效签名证书，仍能在新版Windows 10上加载