Почему работает драйвер подписанный сторонним сертификатом

	Комментарий модератора
	Обсуждение вынесено из этой темы Отключение проверки цифровой подписи WIN 7 64 bit

Проще подписать драйвер своей цифровой подписью.
Я так устанавливал старый неподписаный драйвер для звуковой карты


Инструкций в сети полно

Миниатюры

 

0

Убежденный, пока не могу перезагружаться (играю по сети, не хотелось бы остаться без звука)
Все данные обязательно предоставлю, но позже

0

Да, конечно. Извиняюсь еще раз за назойливость
Да, и в последнем сообщении я имел в виду WinObj, а не WinDBG
("см. вывод программы WinDBG WinOBJ").

Спустя 1 час 48 минут...

Кажется, я нашел способ расставить все точки над "i".
Нужно выполнить инструкцию по WinDBG+livekd, описанную выше, только
после команды "lmv m t3" (см. выше) выполнить еще парочку:

и

После чего скопировать сюда весь получившийся вывод из окна WinDBG.
Это должно дать исчерпывающий ответ, почему грузится данный драйвер.

vavun, если будет возможность, сделайте пожалуйста, и отпишитесь
по результатам, очень любопытно.

0

Убежденный, lmv m t3
Это то, что требовалось ?

Добавлено через 1 минуту
Пока окно открыто

0

WinOBJ отображает драйвер на данный момент

Добавлено через 1 минуту
Осталось проэксперементировать с переименовыванием драйвера, или это уже не требуется ?

Добавлено через 1 минуту
Если все еще нужно, могу предоставить досуп по TeamViewer, но при условии, что вы подробно расскажите о результатах исследования в этой теме)

0

Сообщение от vavun WinOBJ отображает драйвер на данный момент

Ок.

Сообщение от vavun Осталось проэксперементировать с переименовыванием драйвера, или это уже не требуется ?

Хотелось бы проверить, что стопроцентно грузится именно этот файл, а не какой-то другой.

Сообщение от vavun Если все еще нужно, могу предоставить досуп по TeamViewer, но при условии, что вы подробно расскажите о результатах исследования в этой теме)

Я в любом случае напишу. А доступ, к счастью, не потребовался.

0

Сообщение от Убежденный Хотелось бы проверить, что стопроцентно грузится именно этот файл, а не какой-то другой

Ок, сейчас переименую и перезагружусь.

0

Это был он
Я остался без звука, сейчас верну как было и снова перезагружусь

Миниатюры

 

0

Пока не нахожу этому поведению никакого логического объяснения.
Все говорит о том, что данный драйвер грузиться не должен, но он все равно грузится...

Итак, мы проверили, что система 64-битная, что никаких test mode и прочих
хакерских утилит на ней не применялось.

Дополнительно проверили, что это именно тот файл драйвера:

* с помощью команды lmv m была получена информация о загруженном в ядро модуле t3.sys:
его путь (system32\drivers\t3.sys), контрольная сумма и отметка времени в точности
совпадают с данными того файла, который вы мне прислали;

* с помощью переименования дополнительно убедились, что без этого файла драйвер не
загружается и, соответственно, звук не работает.

Вывод команд dd CI!g_CiOptions и dd nt!g_CiEnabled показал, что внутренние переменные
ядра системы, которые хранят параметры загрузки, опции проверки цифровых подписей и т.п.,
содержат дефолтные "нормальные" значения 6 и 1. В случае использования test mode,
например, там могло быть 0xe и 1. В случае отключения проверки цифровых подписей в
переменной g_CiEnabled было бы значение 0, но здесь ничего из этого нет, тоже все чисто.

Более того, я проделал еще один тест на виртуалке с 64-битной Windows 7 SP1,
импортировав сертификат "Vavun" в нужные хранилища с помощью certmgr.exe, но
сам драйвер у меня не запустился, выдав все тот же код ошибки 577.

Еще я попробовал проделать тот же трюк, но с другим драйвером, который обслуживает
реальное оборудование (для PnP-драйверов правила подписывания немного другие).
Убрал из подписи кросс-сертификат, т.е. получил обычную подпись, такую, которой
подписываются обычные exe. Все нужные сертификаты были установлены и в "Доверенные
корневые центры сертификации", и в "Доверенные издатели". Драйвер, как и ожидалось,
нормально установился, но в диспетчере оборудования появился новый пункт с вопросиком,
сообщающий о том, что сам драйвер запущен не был.

То же самое проделал в test mode: в этом режиме драйвер установился и запустился,
но как только я выключил test mode, он загружаться перестал.

--------

В общем, я пока в полнейшем недоумении: как такое может быть ?..
У меня осталось только одно подозрение, что этот эффект был вызван интеграцией драйвера в
образ Windows (в install.wim). Где-то видел, что утилита dism.exe из Windows ADK имеет
флаг /ForceUnsigned для того, чтобы встраивать в дистрибутив неподписанные драйверы.
Других мыслей пока нет.

Мне вот что не дает покоя: Windows Vista, в которой появилась эта система с обязательным
подписыванием драйверов на x64, вышла уже почти десять лет назад, и если бы существовал
такой простой способ обойти эту защиту, все или большинство, кому это надо, давно бы им
пользовались. Ведь это до невозможного просто: сгенерить серт, подписать им драйвер, а
затем при установке на целевой компьютер поставить серты в нужные хранилища (это можно
сделать программно, не выдавая юзеру никаких запросов) и запуститься.

Но вместо этого одни платят по несколько сотен баксов в год за сертификаты, другие, -
как правило, разработчики малвари, - используют сложнейшие техники типа DSEFix
(динамический патч ядра Windows с помощью уязвимости в драйвере VirtualBox),
чтобы таки обойти защиту и загрузить свой вредоносный модуль в ядро.
Неужели все они (и я в том числе) ошибаются и решение настолько простое и "под носом" ?
Хотя если все так, то почему у меня так и не получилось запустить драйвер на x64,
несмотря на все старания ?..

0

Да, драйвер был интегрирован с игнорированием отсусттвия подписи
Но очень слабо верится, что это могло повлиять на работу и установку драйверов уже после развертывания install.wim

А вы не могли бы у себя проверить, получится ли таким образом добавить драйвер в живую ОС ? (и подписаный и не подписаный)
И для чистоты эксперимента, дайте мне ваш "хэловорлдный" драйвер в двух вариантах: один без подписи, один подписаный вашим валидным сертификатом, попробую у себя запустить ваш драйвер а) без подписи б) с вашей подписью в) со своей подписью.

0

Я тут еще на кое что обратил внимание


теперь вообще ничего не понимаю.

Возник вопрос: а что будет, если установить в систему драйвер, где *.cat имеет валидную подпись, но один из *.sys файлов не имеет подписи вовсе, а уже после установки такого драйвера подписать его левой подписью предварительно добавив её сертификат в систему ?
Или заменить неподписаный sys на подписанный левым сертификатом, но опять же, после установки с валидным cat ?

0

Убежденный, в общем если требуется еще какая то информация готов предоставить

0

Сообщение от vavun Но очень слабо верится, что это могло повлиять на работу и установку драйверов уже после развертывания install.wim

Я пока не буду чему-то еще удивляться

А вы не могли бы у себя проверить, получится ли таким образом добавить драйвер в живую ОС ? (и подписаный и не подписаный)

Сейчас как раз этим и занимаюсь. Просто раньше никогда такого с install.wim
не делал, поэтому черепашьими шагами иду. Инструкцию бы какую...

И для чистоты эксперимента, дайте мне ваш "хэловорлдный" драйвер в двух вариантах: один без подписи, один подписаный вашим валидным сертификатом, попробую у себя запустить ваш драйвер а) без подписи б) с вашей подписью в) со своей подписью.

В архиве три папки: unsigned (неподписанный драйвер), signed (подписанный
реальным сертификатом, но без кросса, т.е. грузиться не должен) и
cross-signed (подписанный как положено, должен грузиться везде от XP до Win10).

Timestamp я не использовал, чтобы не вовлечь в это увлекательное
исследование всякие побочные эффекты, связанные с цепочками
сертификатов из timestamp.

Драйвер совершенно ничего не делает, просто запускается и висит в системе.
Установить можно так, например:
ну и запуск:
Вместо demand можно поставить, к примеру, system, тогда драйвер
будет грузиться при включении компа.

MyDriver.zip

Возник вопрос: а что будет, если установить в систему драйвер, где *.cat имеет валидную подпись, но один из *.sys файлов не имеет подписи вовсе, а уже после установки такого драйвера подписать его левой подписью предварительно добавив её сертификат в систему ?

Тут в двух словах не расскажешь...

.cat - это контейнер, в котором хранятся хэши всех файлов из пакета драйвера (driver package).
Обычно в driver package лежат .sys и .inf, хотя и не обязательно, могут быть и другие файлы.
Сам .sys-файл может как иметь, так и не иметь "вшитую" подпись (т.н. embedded signature).

Когда система загружает драйвер, она считает его хэш и пытается найти этот хэш в своей
внутренней базе данных (а база хэшей формируется на основе всех установленных .cat-файлов;
разумеется, проверяются только .cat-файлы с валидной подписью). Если хэш найден, драйвер
загружается. Если нет, проверяется "вшитая" в .sys-файл цифровая подпись. Если и она невалидная,
тогда драйвер не загрузится. Ну по крайней мере, я так считал до сегодняшнего дня

Я не уверен, что эти проверки выполняются именно в таком порядке, а не наоборот,
но сути это, по большому счету, не меняет.

Если в .sys-файле изменить хотя бы один бит, тогда произойдет следующее:
"вшитая" цифровая подпись станет невалидной, это должно быть понятно.
Более того, хэш файла тоже изменится, и проверка сигнатуры по базе каталогов тоже
не будет проходить.

У нас в программировании драйверов даже есть такая типичная ошибка: кто-то подписывает
сначала .cat, а затем .sys, в итоге драйвер, если его просто заинсталлить через sc.exe,
нормально запускается, а вот устанавливаться через inf-файл упорно не хочет.
Все потому, что хэш .sys-файла, который уже забит в .cat, после подписывания .sys-файла
меняется и driver package становится неподписанным.

В общем, возвращаясь к вопросу о том, что будет, если "установить в систему драйвер,
где *.cat имеет валидную подпись, но один из *.sys файлов не имеет подписи вовсе, а уже
после установки такого драйвера подписать его левой подписью предварительно добавив её
сертификат в систему" - ответ такой: грузиться этот драйвер не будет.
Левая подпись, которая "вшита" в sys, для загрузки недостаточна (т.к. она левая).
Хэш файла изменился, поэтому пройти проверку по .cat он тоже не сможет.
Грузиться не должен после этого.

Или заменить неподписаный sys на подписанный левым сертификатом, но опять же, после установки с валидным cat ?

Ответ такой же: грузиться не будет.
Я, кстати, многократно проделывал подобные эксперименты, когда только начинал
разбираться во всей этой "кухне". Логика Windows почти всегда "железная": как только
ты хоть на полшага нарушаешь схему - все перестает работать.

1

Сообщение от Убежденный Просто раньше никогда такого с install.wim не делал, поэтому черепашьими шагами иду. Инструкцию бы какую

элементарно
Монтируем install.wim с установочного дистрибутива в папку D:\mount
Индекс, котоорый /index=1 указываете в зависимости от индекса устанавливаемой ОС
определить можно так
интегрируем драйверы расположенные в директории D:\Drivers
Назначение ключей, я думаю, понятно

откоючаем смонтированный индекс с сохранением
Готово.

Добавлено через 2 минуты
Самое важное, наличие INF файлов, иначе не получится

Добавлено через 12 минут




Подписал ваш драйвер своей подписью.

0

За инструкции спасибо, все вроде правильно сделал, но пока
застрял на пункте "закинуть install.wim обратно и сделать новый iso".
С помощью чего это лучше провернуть ?

0

Убежденный, ultraiso например. Или любой утилитой поддерживающей работу с ISO образами

0

Вот на этом шаге я пока и застрял.
Сделал два пакета драйверов, оба как положено - с inf и cat файлами
(они нормально устанавливаются через контекстное меню inf), первый подписан
без кросса, второй с кроссом. Интегрировал эти драйверы через dism.exe в
дистрибутив, затем сделал iso c помощью CDBurnerXP (с UltraISO не срослось).

Образ нормально устанавливается, но своих драйверов я не в списке
зарегистрированных, ни вообще где-либо на диске не нашел.

Буду продолжать после работы.

0

Убежденный, назовите редакцию и разрядность устанавливаемой ОС.
Вероятно вы перепутали индексы в install.wim

Либо выполните поиск соответствующий файлов драйверов на установленной ос. Если они интегрированы и индекс был выбран верный, они должны быть в репозитории драйверов, но не будут установлены.

0

Windows 7 Ultimate SP1 x64 rus

Возможно, что-то и напутал, дело ночью было...
Попробую еще раз более внимательно, когда время будет.
А драйверов на установленной ОС я не нашел, ни в system32\drivers, ни в
репозитории драйверов, ни еще где на диске.

0

Сообщение от Убежденный Windows 7 Ultimate SP1 x64 rus

Если дистрибутив оригинальный, то надо монтировать четвертый индекс

dism.exe /Mount-Wim /wimfile:E:\sources\install.wim /mountdir:D:\mount /index=4

Проверить можно так
dism.exe /get-wiminfo /Wimfile:"E:\sources\install.wim"

Результат


Если есть под руками imagex, то можно сделать экспорт нужного индекса в отдельный install.wim, чтобы в дальнейшем не путаться с индексами

Источник "E:\sources\install.wim"
Назначение "D:\install.wim"
индекс 4
imagex /export "E:\sources\install.wim" 4 "D:\install.wim" "Windows 7 Ultimate (x64)" /compress maximum

И в дальнейшем работать только с этим install.wim

1

Бесполезно. Несколько раз (если быть точным - 4) встраивал драйверы в дистрибутив Windows 7,
после установки они появляются в репозитории драйверов, но запуск обламывается с кодом 577.
Пробовал подписывать только .sys, только .cat или оба вместе, один раз своим сертификатом,
но без кросса, другой раз генерировал новый сертификат. Пробовал устанавливать драйверы и
через sc.exe, и через inf-файл. Во всех случаях все попытки закончились тем, что драйвер
просто не запускался, выдавая все тот же код 577. Пробовал и сертификаты ставить в
хранилища "root", "trustedpublisher" и "personal", системное и юзерское - не помогло.

На другой системе (тоже Windows 7), которая переведена в тестовый режим, все
корректно подписанные драйверы нормально устанавливаются (inf/sc.exe) и
запускаются без проблем.

В общем, я пас. Никакого логического объяснения происходящему я найти не могу.

0