即使2016年往后的无效签名证书，仍能在新版Windows 10上加载

显示全部楼层 · 发表于 2022-7-28 12:21:55

wowocock 发表于 2022-7-28 10:48
Win10开启 Secure Boot状态下，驱动想跑起来有两种方式：

1.使用微软WHQL签名

那此贴驱动就是如下这种了，我的电脑安全启动状态是启用的。

所以现在基本有个非常好利用的点，使用2013-2015期间颁发的驱动代码签名，几乎从win7的低版本patch，到win10-11 ,加上开启 Secure Boot情况下都能跑。

显示全部楼层 · 发表于 2022-7-28 13:02:18

fzp070 发表于 2022-7-28 12:21
那此贴驱动就是如下这种了，我的电脑安全启动状态是启用的。

大手子太强了

估计是把所有签名都带着自己的驱动向种用户推广才得到大致结果

显示全部楼层 · 发表于 2022-7-28 14:07:31

wowocock 发表于 2022-7-28 10:48
Win10开启 Secure Boot状态下，驱动想跑起来有两种方式：

1.使用微软WHQL签名

查了下processhacker，其签名也是2013年颁发的，所以也能在开启secure boot甚至是内核隔离的情况下加载

显示全部楼层 · 发表于 2022-7-28 14:10:06

神龟Turmi 发表于 2022-7-28 01:40
必须WHQL而不是交叉了微软根的第三方CA
这个规定是win10某个版本开始才有的
具体哪个版本我不记得了（ ...

重新看了下processhcker的驱动，其签名是2013年颁发的。所以，的确没有例外，确实需要WHQL

显示全部楼层 · 发表于 2022-7-28 19:09:08

所以这个“从旧版本升级”的系统是允许之前安装的驱动继续加载还是以后所有驱动都这样？

这个信息（是否从旧版升级）记录在哪里？

显示全部楼层 · 发表于 2022-7-29 02:34:35

本帖最后由 ANY.LNK 于 2022-7-29 02:35 编辑

a27573 发表于 2022-7-28 19:09
所以这个“从旧版本升级”的系统是允许之前安装的驱动继续加载还是以后所有驱动都这样？

这个信息（是否 ...

觉得可能是以后所有的驱动都这样。毕竟要让某些不符合要求的驱动加载，就会关闭某些系统安全措施。无法完全建立白名单，因为某些软件的驱动还会更新并仍有可能不符合要求。

我曾有一台从Win7升Win10的电脑（被某下载站下载器捆绑了Rootkit进来），期间系统和驱动都更新了好几次（样本签名不符合一般Win10要求）但仍能加载。

至于升级信息（例如是否有不兼容驱动）的记录，怀疑是升级兼容助手（升级前后进行兼容性检测时）做的一个记录，我目前没有能测试的机器，所以只能做个猜测

[讨论] 即使2016年往后的无效签名证书，仍能在新版Windows 10上加载

本帖子中包含更多资源