首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[讨论]隐藏驱动代码签名证书信息
发表于: 11小时前 230

[讨论]隐藏驱动代码签名证书信息

NIce_Hack 活跃值
11小时前
230

  • 据我所知，驱动在Windows系统中必须有数字签名才能加载，而且Windows 10 11在安全启动开启的电脑上必须是微软WHQL认证的才能加载驱动！直到我拿到了样本文件，我很震惊。这个文件确实是一个没有任何签名的sys文件，我测试了所有主流的Windows系统，它们都能加载这个驱动。这非常可疑！所以我反编译了这个sys文件，发现里面有一个隐藏的数字签名，但是Windows系统没有显示这个签名。这很奇怪。如果Windows不显示数字签名，这应该是一个无效的签名！既然这是一个无效的签名，为什么Windows操作系统能识别它？并且可以正常加载。因为我的逆向工程水平有限，发出样本驱动请求专家完全逆转它，并公开此漏洞利用的详细信息，以便更多人了解它


[培训]科锐逆向工程师培训第53期2025年7月8日开班！

上传的附件：
收藏
免费 ・1
支持
分享
最新回复 (5)
S极客
雪    币： 531
活跃值： (1716)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
2 楼
e8aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1M7$3I4W2k6e0t1H3x3U0u0Q4x3V1k6e0K9h3N6F1j5i4c8#2M7X3g2w2K9h3b7`.
6小时前
0
小周学习站
雪    币： 17
活跃值： (688)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
S极客 913K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1M7$3I4W2k6e0t1H3x3U0u0Q4x3V1k6e0K9h3N6F1j5i4c8#2M7X3g2w2K9h3b7`.
这个复制的签名，驱动是无法加载的。
5小时前
0
风铃i
雪    币： 1271
活跃值： (1669)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
4 楼
瞎几把改改时间戳就行了，还有人拿这个卖钱啊，真搞笑
5小时前
0
mb_vmdpdaoc
雪    币： 2
能力值： ( LV1，RANK：0 )
在线值：
发帖
回帖
粉丝
私信
5 楼
我还见到了更神奇的样本，不是腾讯的驱动但是有腾讯签名，显示是数字签名正常，但是吊销验证是脱机，无法验证
3小时前
0
blowfish
雪    币： 3246
活跃值： (374)
能力值： (RANK：20 )
在线值：
发帖
回帖
粉丝
私信
6 楼
The MSDN documentation states that the 0x80093102 code means:
CRYPT_E_ASN1_EOD - ASN1 unexpected end of data.

signtool.exe报这个WinVerifyTrust()错误。但签名是能验证通过的。

感觉是windows的“高层”api WinVerifyTrust()之类的处理不了这种“畸形”数据，但是os的driver loader、windows的“低层”crypto API、其他API（如openssl）是能处理的。
1小时前
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回