1. 項(xiàng)目概述當(dāng)驅(qū)動(dòng)開(kāi)發(fā)遇上簽名強(qiáng)制如果你在Windows平臺(tái)上做過(guò)內(nèi)核驅(qū)動(dòng)開(kāi)發(fā)或者嘗試過(guò)安裝一些非官方的硬件驅(qū)動(dòng)那你大概率遇到過(guò)那個(gè)令人頭疼的藍(lán)屏錯(cuò)誤“Windows無(wú)法驗(yàn)證此驅(qū)動(dòng)程序軟件的發(fā)布者”。這背后就是Windows驅(qū)動(dòng)簽名強(qiáng)制機(jī)制在“作祟”。對(duì)于驅(qū)動(dòng)開(kāi)發(fā)者、安全研究員或是熱衷于硬件改造的極客來(lái)說(shuō)這套機(jī)制就像一道緊鎖的大門(mén)將許多未經(jīng)微軟官方認(rèn)證的驅(qū)動(dòng)擋在了系統(tǒng)之外。DSEFix正是這樣一把在特定場(chǎng)景下能夠暫時(shí)“擰開(kāi)”這把鎖的工具。它不是一個(gè)用于大規(guī)模部署或繞過(guò)安全機(jī)制的惡意軟件而是一個(gè)深入理解Windows內(nèi)核安全模型后用于調(diào)試、研究和特定合法場(chǎng)景下的技術(shù)方案。簡(jiǎn)單來(lái)說(shuō)DSEFix通過(guò)一種非常精妙的方式在系統(tǒng)運(yùn)行時(shí)動(dòng)態(tài)地修改內(nèi)核中一個(gè)關(guān)鍵的控制變量從而讓W(xué)indows內(nèi)核“暫時(shí)忘記”要去檢查驅(qū)動(dòng)的數(shù)字簽名。這就像是在保安檢查證件時(shí)暫時(shí)讓他手里的驗(yàn)鈔機(jī)失靈幾分鐘等你的“特殊訪客”即未簽名驅(qū)動(dòng)進(jìn)去后再讓一切恢復(fù)正常。這篇文章我將從一個(gè)有十多年底層開(kāi)發(fā)經(jīng)驗(yàn)的從業(yè)者角度為你徹底拆解DSEFix背后的技術(shù)原理、實(shí)戰(zhàn)應(yīng)用場(chǎng)景以及每一步操作背后的“為什么”。我會(huì)帶你看到代碼和命令背后的邏輯分享我踩過(guò)的坑和總結(jié)出的實(shí)用技巧。無(wú)論你是想深入學(xué)習(xí)Windows內(nèi)核安全機(jī)制還是確實(shí)有調(diào)試未簽名驅(qū)動(dòng)的合法需求這篇文章都能給你提供一條清晰、可操作的路徑。記住我們的目標(biāo)是理解技術(shù)本身并負(fù)責(zé)任地將其應(yīng)用于合規(guī)的研究與開(kāi)發(fā)工作中。2. DSEFix的核心原理不攻算法攻其“開(kāi)關(guān)”要理解DSEFix必須先理解它的對(duì)手——驅(qū)動(dòng)簽名強(qiáng)制。很多人一聽(tīng)到“繞過(guò)簽名”第一反應(yīng)是去偽造簽名或者破解簽名算法。這思路方向就錯(cuò)了而且難度極高。微軟使用的數(shù)字簽名算法是公開(kāi)的、強(qiáng)密碼學(xué)保障的正面強(qiáng)攻幾乎不可能。DSEFix走了一條更聰明的“迂回”路線。2.1 Windows驅(qū)動(dòng)簽名強(qiáng)制的運(yùn)作機(jī)制Windows的驅(qū)動(dòng)簽名強(qiáng)制并非時(shí)刻以最高強(qiáng)度運(yùn)行。系統(tǒng)維護(hù)著一個(gè)全局狀態(tài)來(lái)決定當(dāng)前是否要強(qiáng)制執(zhí)行簽名檢查。這個(gè)狀態(tài)由一個(gè)或多個(gè)內(nèi)核變量控制。你可以把它想象成一個(gè)電燈開(kāi)關(guān)開(kāi)關(guān)打開(kāi)值為1強(qiáng)制檢查所有驅(qū)動(dòng)的簽名未簽名或簽名無(wú)效的驅(qū)動(dòng)無(wú)法加載。開(kāi)關(guān)關(guān)閉值為0系統(tǒng)進(jìn)入“測(cè)試模式”或類(lèi)似狀態(tài)允許加載未簽名驅(qū)動(dòng)進(jìn)行測(cè)試和調(diào)試。在正常的消費(fèi)者Windows系統(tǒng)上這個(gè)開(kāi)關(guān)默認(rèn)是強(qiáng)制打開(kāi)的。而“測(cè)試模式”則是微軟官方提供的一種合法關(guān)閉此開(kāi)關(guān)的方式會(huì)在桌面右下角顯示“測(cè)試模式”水印。DSEFix所做的就是在系統(tǒng)運(yùn)行時(shí)在不進(jìn)入官方測(cè)試模式、不顯示水印的情況下動(dòng)態(tài)地將這個(gè)“開(kāi)關(guān)”撥到關(guān)閉的位置。2.2 DSEFix的技術(shù)實(shí)現(xiàn)思想DSEFix的核心思想是內(nèi)核內(nèi)存補(bǔ)丁。它不修改任何系統(tǒng)文件而是在驅(qū)動(dòng)加載到內(nèi)存后在運(yùn)行時(shí)定位到那個(gè)控制簽名檢查的開(kāi)關(guān)變量所在的內(nèi)存地址然后直接修改其數(shù)值。這個(gè)過(guò)程可以分解為幾個(gè)關(guān)鍵步驟定位目標(biāo)變量首先它需要在內(nèi)核浩瀚的內(nèi)存空間中找到那個(gè)關(guān)鍵的開(kāi)關(guān)變量。這通常通過(guò)特征碼掃描來(lái)完成。DSEFix會(huì)搜索內(nèi)核鏡像如ntoskrnl.exe中一段獨(dú)特的字節(jié)序列這段序列唯一地關(guān)聯(lián)到那個(gè)控制變量。這就像在一本巨大的電話簿里通過(guò)一個(gè)人的獨(dú)特習(xí)慣用語(yǔ)找到他的電話號(hào)碼。計(jì)算偏移與地址找到特征碼后根據(jù)其與目標(biāo)變量的固定偏移關(guān)系計(jì)算出目標(biāo)變量在本次系統(tǒng)啟動(dòng)后的實(shí)際內(nèi)存地址。因?yàn)閃indows每次啟動(dòng)內(nèi)核加載的基址可能不同地址空間布局隨機(jī)化ASLR所以這個(gè)計(jì)算是動(dòng)態(tài)的。修改內(nèi)存數(shù)據(jù)以內(nèi)核權(quán)限向計(jì)算得到的內(nèi)存地址寫(xiě)入特定的值例如將1改為0。由于這個(gè)操作發(fā)生在內(nèi)核層它需要極高的權(quán)限并且操作本身需要繞過(guò)內(nèi)核的寫(xiě)保護(hù)機(jī)制如PatchGuard在x64系統(tǒng)上。早期版本的DSEFix或類(lèi)似工具主要針對(duì)x86系統(tǒng)而現(xiàn)代64位系統(tǒng)上的實(shí)現(xiàn)則需要更復(fù)雜的技術(shù)來(lái)臨時(shí)禁用PatchGuard?；謴?fù)現(xiàn)場(chǎng)在完成未簽名驅(qū)動(dòng)加載后負(fù)責(zé)任的工具應(yīng)該將變量改回原值并將內(nèi)核寫(xiě)保護(hù)恢復(fù)以盡量減少對(duì)系統(tǒng)穩(wěn)定性的影響。注意在x64版本的Windows上直接進(jìn)行這種內(nèi)核內(nèi)存修補(bǔ)會(huì)觸發(fā)內(nèi)核模式代碼完整性保護(hù)俗稱(chēng)PatchGuard導(dǎo)致系統(tǒng)藍(lán)屏。因此現(xiàn)代適用于x64系統(tǒng)的DSEFix變種其技術(shù)核心往往包含了如何安全地、臨時(shí)地繞過(guò)或暫停PatchGuard的檢測(cè)。這部分是技術(shù)難點(diǎn)也是風(fēng)險(xiǎn)最高的地方。2.3 與“測(cè)試模式”的本質(zhì)區(qū)別很多人會(huì)問(wèn)既然有官方的“測(cè)試模式”為什么還需要DSEFix兩者有本質(zhì)區(qū)別測(cè)試模式是系統(tǒng)全局、持久化的狀態(tài)。通過(guò)bcdedit命令設(shè)置需要重啟生效桌面會(huì)有明顯水印。它適用于長(zhǎng)時(shí)間的開(kāi)發(fā)測(cè)試周期。DSEFix是動(dòng)態(tài)、臨時(shí)的狀態(tài)切換。它通常在需要加載某個(gè)特定未簽名驅(qū)動(dòng)前運(yùn)行操作后立即生效無(wú)需重啟且無(wú)視覺(jué)水印。完成后可恢復(fù)原狀。它適用于單次、臨時(shí)的調(diào)試或運(yùn)行某個(gè)特定工具。打個(gè)比方測(cè)試模式像是為了裝修房子向物業(yè)申請(qǐng)了長(zhǎng)期的“施工模式”允許建材車(chē)輛進(jìn)出。而DSEFix像是你有個(gè)朋友臨時(shí)送個(gè)大件家具到你家樓下你只是臨時(shí)跟保安說(shuō)了一聲登記后放行家具搬完就恢復(fù)常態(tài)。3. 實(shí)戰(zhàn)應(yīng)用從環(huán)境準(zhǔn)備到驅(qū)動(dòng)加載理解了原理我們來(lái)看實(shí)戰(zhàn)。我必須強(qiáng)調(diào)以下操作僅適用于你有合法、合規(guī)的未簽名驅(qū)動(dòng)需要加載的場(chǎng)景例如調(diào)試自己編寫(xiě)的內(nèi)核驅(qū)動(dòng)。運(yùn)行某個(gè)開(kāi)源硬件項(xiàng)目提供的實(shí)驗(yàn)性驅(qū)動(dòng)。在封閉的測(cè)試環(huán)境中運(yùn)行安全研究工具。絕對(duì)禁止將其用于繞過(guò)商業(yè)軟件的安全保護(hù)、安裝惡意軟件或任何破壞系統(tǒng)安全性的非法用途。3.1 前期準(zhǔn)備與環(huán)境搭建工欲善其事必先利其器。在開(kāi)始之前你需要準(zhǔn)備好以下環(huán)境合適的操作系統(tǒng)建議在虛擬機(jī)中進(jìn)行所有測(cè)試。推薦使用VMware Workstation或Hyper-V。虛擬機(jī)可以方便地創(chuàng)建快照一旦操作失誤導(dǎo)致系統(tǒng)崩潰可以瞬間回滾。物理機(jī)上操作風(fēng)險(xiǎn)極高。關(guān)閉安全啟動(dòng)大多數(shù)現(xiàn)代電腦的UEFI固件中啟用了“安全啟動(dòng)”。這個(gè)功能會(huì)阻止未簽名的EFI應(yīng)用程序和驅(qū)動(dòng)在啟動(dòng)早期加載。你必須在虛擬機(jī)的設(shè)置或物理機(jī)的BIOS/UEFI設(shè)置中將其關(guān)閉。這是DSEFix或任何未簽名驅(qū)動(dòng)能夠加載的先決條件。準(zhǔn)備調(diào)試工具DSEFix工具本身你需要獲取DSEFix的可執(zhí)行文件。通常它是一個(gè).exe文件可能需要以管理員身份運(yùn)行。重要警告請(qǐng)務(wù)必從可信的源碼倉(cāng)庫(kù)如GitHub上知名的安全研究項(xiàng)目自行編譯或從極度信任的渠道獲取。網(wǎng)絡(luò)上預(yù)編譯的二進(jìn)制文件極有可能被植入惡意代碼。驅(qū)動(dòng)程序準(zhǔn)備好你需要加載的未簽名驅(qū)動(dòng)程序文件.sys文件。驅(qū)動(dòng)加載/管理工具推薦使用OSR Driver Loader或WinDbg。對(duì)于命令行愛(ài)好者也可以使用sc命令和devcon。我們將主要使用sc命令因?yàn)樗窍到y(tǒng)自帶的。內(nèi)核調(diào)試器如果驅(qū)動(dòng)可能導(dǎo)致藍(lán)屏配置內(nèi)核調(diào)試使用WinDbg是必須的。這能讓你在系統(tǒng)崩潰時(shí)捕獲內(nèi)存轉(zhuǎn)儲(chǔ)分析問(wèn)題原因。3.2 分步操作流程實(shí)錄假設(shè)我們的未簽名驅(qū)動(dòng)文件名為MyTestDriver.sys。步驟一放置驅(qū)動(dòng)文件將MyTestDriver.sys復(fù)制到一個(gè)合適的路徑例如C:\MyDrivers\。避免使用包含空格或特殊字符的路徑。步驟二安裝驅(qū)動(dòng)服務(wù)我們使用Windows自帶的SCService Controller工具來(lái)創(chuàng)建和驅(qū)動(dòng)關(guān)聯(lián)的服務(wù)。以管理員身份打開(kāi)命令提示符或PowerShell。sc create MyTestDriver binPath C:\MyDrivers\MyTestDriver.sys type kernel start demand逐條解釋這個(gè)命令sc create創(chuàng)建服務(wù)。MyTestDriver服務(wù)的名稱(chēng)可以自定義。binPath注意等號(hào)后面必須有一個(gè)空格這是sc命令的語(yǔ)法要求。路徑指向你的.sys文件。type kernel指定為內(nèi)核驅(qū)動(dòng)服務(wù)。start demand啟動(dòng)類(lèi)型為“按需啟動(dòng)”即不會(huì)自動(dòng)啟動(dòng)需要我們手動(dòng)觸發(fā)。如果成功你會(huì)看到[SC] CreateService 成功的提示。你可以運(yùn)行sc query MyTestDriver來(lái)查看服務(wù)狀態(tài)此時(shí)應(yīng)該是STOPPED。步驟三運(yùn)行DSEFix這是最關(guān)鍵的一步。找到你的DSEFix工具同樣以管理員身份運(yùn)行它。根據(jù)工具的不同運(yùn)行方式可能是直接雙擊運(yùn)行一個(gè)圖形界面工具點(diǎn)擊“Disable”或“Fix”按鈕。在命令行中運(yùn)行如DSEFix.exe /disable。運(yùn)行后如果成功工具通常會(huì)提示“Driver Signature Enforcement has been disabled”或類(lèi)似信息。此時(shí)簽名強(qiáng)制已被臨時(shí)關(guān)閉。步驟四加載并啟動(dòng)驅(qū)動(dòng)在簽名強(qiáng)制被關(guān)閉的窗口期內(nèi)立即加載你的驅(qū)動(dòng)。sc start MyTestDriver如果驅(qū)動(dòng)加載成功命令提示符會(huì)顯示SERVICE_NAME: MyTestDriver ... STATE : 4 RUNNING。恭喜你未簽名驅(qū)動(dòng)已經(jīng)在內(nèi)核中運(yùn)行了。步驟五停止驅(qū)動(dòng)與恢復(fù)環(huán)境完成測(cè)試后務(wù)必停止驅(qū)動(dòng)并考慮恢復(fù)簽名強(qiáng)制。sc stop MyTestDriver停止服務(wù)后你可以刪除它sc delete MyTestDriver最后運(yùn)行DSEFix工具的恢復(fù)功能如果有的話例如DSEFix.exe /enable將系統(tǒng)狀態(tài)恢復(fù)。如果不恢復(fù)系統(tǒng)可能保持在不檢查簽名的狀態(tài)直到下次重啟。3.3 操作中的關(guān)鍵細(xì)節(jié)與避坑指南時(shí)機(jī)就是一切DSEFix的效果是臨時(shí)的。在運(yùn)行DSEFix之后必須立刻加載你的驅(qū)動(dòng)。如果中間間隔時(shí)間過(guò)長(zhǎng)或者你嘗試加載驅(qū)動(dòng)失敗后又去運(yùn)行了其他需要內(nèi)核驗(yàn)證的程序系統(tǒng)可能會(huì)重新啟用簽名檢查或者發(fā)生不可預(yù)知的行為。權(quán)限必須到位所有操作sc create,sc start, 運(yùn)行DSEFix都必須在管理員權(quán)限的控制臺(tái)窗口中進(jìn)行。右鍵點(diǎn)擊“命令提示符”或“PowerShell”選擇“以管理員身份運(yùn)行”。路徑與空格陷阱sc create命令中的binPath語(yǔ)法非常挑剔。等號(hào)后的空格是必須的。如果路徑包含空格必須用雙引號(hào)將整個(gè)路徑括起來(lái)例如binPath C:\Program Files\MyDriver.sys。一個(gè)更穩(wěn)妥的做法是使用短路徑名8.3格式可以在命令行用dir /x查看。驅(qū)動(dòng)本身的穩(wěn)定性DSEFix只幫你過(guò)了簽名檢查這一關(guān)。如果你的驅(qū)動(dòng)本身有Bug如訪問(wèn)非法內(nèi)存、死鎖它依然會(huì)導(dǎo)致系統(tǒng)藍(lán)屏。務(wù)必在虛擬機(jī)中測(cè)試并配置好內(nèi)核調(diào)試以便分析崩潰轉(zhuǎn)儲(chǔ)文件。殺毒軟件的干擾一些激進(jìn)的安全軟件或Windows Defender可能會(huì)將DSEFix工具或你的未簽名驅(qū)動(dòng)識(shí)別為惡意軟件并隔離或刪除。在測(cè)試前需要在安全軟件中設(shè)置排除項(xiàng)或者臨時(shí)關(guān)閉實(shí)時(shí)保護(hù)僅在測(cè)試期間于隔離的虛擬機(jī)中操作。4. 深入技術(shù)細(xì)節(jié)逆向分析與實(shí)現(xiàn)窺探對(duì)于想深入了解的開(kāi)發(fā)者我們可以更進(jìn)一步看看DSEFix可能如何實(shí)現(xiàn)。再次聲明這里僅作技術(shù)交流不提供完整可編譯的繞過(guò)PatchGuard的代碼。4.1 關(guān)鍵變量定位在較舊版本的Windows內(nèi)核中控制驅(qū)動(dòng)簽名強(qiáng)制的全局變量可能是g_CiEnabled或g_CiOptions。DSEFix工具內(nèi)部會(huì)包含一段特征碼用于在內(nèi)存中搜索這些變量。 例如它可能在內(nèi)核二進(jìn)制中搜索類(lèi)似于檢查CiInitialize函數(shù)調(diào)用或特定策略檢查指令序列的代碼模式從而定位到引用這些變量的指令再通過(guò)指令中的偏移量計(jì)算出變量的實(shí)際地址。4.2 內(nèi)核內(nèi)存寫(xiě)入與PatchGuard在x64系統(tǒng)上直接使用WriteProcessMemory這樣的函數(shù)是行不通的因?yàn)槟繕?biāo)地址是內(nèi)核空間。需要先提升到內(nèi)核權(quán)限并修改頁(yè)表?xiàng)l目PTE的屬性將目標(biāo)內(nèi)存頁(yè)標(biāo)記為可寫(xiě)。 更嚴(yán)峻的挑戰(zhàn)是PatchGuard。PatchGuard會(huì)周期性地檢查關(guān)鍵內(nèi)核結(jié)構(gòu)、代碼和數(shù)據(jù)的完整性。一旦發(fā)現(xiàn)被修改就會(huì)主動(dòng)引發(fā)藍(lán)屏。因此一個(gè)完整的DSEFix for x64需要定位并暫停PatchGuard線程找到負(fù)責(zé)執(zhí)行檢查的內(nèi)核線程并將其掛起。修改控制變量在PatchGuard被暫停的短暫時(shí)間內(nèi)快速完成對(duì)g_CiOptions等變量的修改。恢復(fù)PatchGuard讓PatchGuard線程繼續(xù)運(yùn)行。這個(gè)過(guò)程猶如在高速行駛的汽車(chē)上更換輪胎時(shí)機(jī)和精度要求極高稍有差錯(cuò)就會(huì)導(dǎo)致系統(tǒng)崩潰。這也是為什么這類(lèi)工具往往非常脆弱對(duì)Windows版本和補(bǔ)丁級(jí)別極其敏感。微軟的一個(gè)小更新就可能改變內(nèi)核結(jié)構(gòu)或PatchGuard的算法導(dǎo)致舊版工具失效。4.3 另一種思路利用漏洞或已簽名驅(qū)動(dòng)由于直接對(duì)抗PatchGuard難度大、穩(wěn)定性差高級(jí)的研究者會(huì)尋找其他路徑利用已簽名的漏洞利用驅(qū)動(dòng)歷史上一些擁有合法微軟簽名的驅(qū)動(dòng)如某些硬件廠商提供的診斷工具驅(qū)動(dòng)存在漏洞允許用戶模式程序進(jìn)行任意內(nèi)核內(nèi)存讀寫(xiě)。攻擊者可以利用這些“帶簽名的惡意驅(qū)動(dòng)”作為跳板去關(guān)閉DSE。微軟通過(guò)吊銷(xiāo)證書(shū)來(lái)應(yīng)對(duì)此類(lèi)威脅。利用引導(dǎo)配置策略在Windows企業(yè)版中可以通過(guò)組策略或啟動(dòng)配置數(shù)據(jù)來(lái)允許加載特定測(cè)試簽名或禁用簽名強(qiáng)制。但這不屬于運(yùn)行時(shí)動(dòng)態(tài)修改。5. 常見(jiàn)問(wèn)題、排查與倫理思考5.1 實(shí)戰(zhàn)問(wèn)題速查表問(wèn)題現(xiàn)象可能原因排查與解決思路運(yùn)行DSEFix時(shí)提示“Access Denied”1. 未以管理員身份運(yùn)行。2. 安全軟件阻止。3. 工具不兼容當(dāng)前系統(tǒng)版本。1. 確認(rèn)使用管理員權(quán)限。2. 臨時(shí)禁用安全軟件實(shí)時(shí)監(jiān)控虛擬機(jī)內(nèi)操作。3. 查找針對(duì)你當(dāng)前Windows 10/11特定版本編譯的工具。sc start失敗錯(cuò)誤代碼 577Windows無(wú)法驗(yàn)證驅(qū)動(dòng)文件的數(shù)字簽名。1.確認(rèn)DSEFix已成功運(yùn)行。用工具確認(rèn)狀態(tài)或運(yùn)行兩次。2. 確認(rèn)安全啟動(dòng)已關(guān)閉。3. 驅(qū)動(dòng)文件可能已損壞重新編譯或獲取。sc start失敗錯(cuò)誤代碼 1058服務(wù)已被禁用。創(chuàng)建服務(wù)時(shí)可能指定了start disabled。使用sc config MyTestDriver start demand修改啟動(dòng)類(lèi)型。加載驅(qū)動(dòng)后立即藍(lán)屏驅(qū)動(dòng)本身存在Bug。1.必須在虛擬機(jī)中測(cè)試2. 配置內(nèi)核調(diào)試分析藍(lán)屏dump文件。3. 檢查驅(qū)動(dòng)代碼常見(jiàn)問(wèn)題有空指針解引用、IRQL級(jí)別錯(cuò)誤、內(nèi)存未正確分配/釋放。DSEFix運(yùn)行后系統(tǒng)不穩(wěn)定PatchGuard被干擾或工具存在缺陷。1. 立即重啟系統(tǒng)是最快恢復(fù)方法。2. 嘗試使用更穩(wěn)定、更新版本的工具。3. 考慮改用官方的“測(cè)試模式”進(jìn)行長(zhǎng)期開(kāi)發(fā)。工具對(duì)當(dāng)前Windows版本無(wú)效內(nèi)核結(jié)構(gòu)或PatchGuard機(jī)制已更新。這是最常見(jiàn)的問(wèn)題。需要尋找針對(duì)你系統(tǒng)版本包括內(nèi)部版本號(hào)專(zhuān)門(mén)適配或更新的工具版本。開(kāi)源項(xiàng)目通常會(huì)注明支持的Windows版本。5.2 倫理與合規(guī)邊界作為一名從業(yè)者我必須花篇幅討論這個(gè)問(wèn)題。技術(shù)本身是中立的但使用技術(shù)的人需要負(fù)責(zé)。合法用途軟件開(kāi)發(fā)調(diào)試、安全研究在授權(quán)范圍內(nèi)、硬件原型開(kāi)發(fā)、操作系統(tǒng)內(nèi)部學(xué)習(xí)是正當(dāng)?shù)?。非法用途開(kāi)發(fā)rootkit、繞過(guò)商業(yè)軟件許可保護(hù)、安裝間諜軟件或廣告軟件、破壞他人系統(tǒng)安全是明確違法且不道德的。灰色地帶使用未簽名的驅(qū)動(dòng)來(lái)“優(yōu)化”游戲或超頻。這通常違反軟件許可協(xié)議且由于驅(qū)動(dòng)運(yùn)行在內(nèi)核態(tài)劣質(zhì)驅(qū)動(dòng)極易導(dǎo)致系統(tǒng)不穩(wěn)定風(fēng)險(xiǎn)自擔(dān)。我的個(gè)人建議是將你的實(shí)驗(yàn)環(huán)境嚴(yán)格限制在虛擬機(jī)內(nèi)。永遠(yuǎn)不要在重要的生產(chǎn)環(huán)境或日常使用的主機(jī)上嘗試禁用驅(qū)動(dòng)簽名強(qiáng)制。對(duì)于學(xué)習(xí)而言理解其原理比成功運(yùn)行一次工具更重要。當(dāng)你理解了DSEFix是如何工作的你也就更深刻地理解了Windows是如何努力保護(hù)自身內(nèi)核完整性的這種對(duì)立統(tǒng)一的認(rèn)知才是技術(shù)研究的價(jià)值所在。6. 替代方案與進(jìn)階方向如果你覺(jué)得DSEFix過(guò)于“黑客”且不穩(wěn)定可以考慮以下更正規(guī)的替代方案使用Windows測(cè)試模式這是最官方、最穩(wěn)定的方法。在管理員命令行執(zhí)行bcdedit /set testsigning on重啟后桌面會(huì)出現(xiàn)“測(cè)試模式”水印此時(shí)可以加載用測(cè)試證書(shū)簽名的驅(qū)動(dòng)。你可以使用Visual Studio生成的測(cè)試證書(shū)或者用MakeCert、OpenSSL自己創(chuàng)建證書(shū)然后用SignTool簽名驅(qū)動(dòng)。這種方式適合完整的驅(qū)動(dòng)開(kāi)發(fā)測(cè)試周期。獲取微軟的擴(kuò)展驗(yàn)證證書(shū)如果你開(kāi)發(fā)的是需要公開(kāi)發(fā)布的正式驅(qū)動(dòng)必須向微軟指定的證書(shū)頒發(fā)機(jī)構(gòu)購(gòu)買(mǎi)EV代碼簽名證書(shū)通過(guò)微軟的硬件開(kāi)發(fā)者中心提交驅(qū)動(dòng)進(jìn)行微軟的簽名。這是軟件/硬件廠商發(fā)布的唯一正規(guī)途徑。使用Hyper-V的隔離模式對(duì)于驅(qū)動(dòng)測(cè)試可以利用Hyper-V的“隔離沙箱”功能在一個(gè)與主機(jī)高度隔離但內(nèi)核可調(diào)試的虛擬機(jī)環(huán)境中測(cè)試驅(qū)動(dòng)即使驅(qū)動(dòng)崩潰也不會(huì)影響主機(jī)。對(duì)于希望深入安全研究的朋友DSEFix所涉及的技術(shù)點(diǎn)是一個(gè)絕佳的起點(diǎn)可以引導(dǎo)你深入探索Windows內(nèi)核架構(gòu)理解進(jìn)程/線程、內(nèi)存管理、對(duì)象管理器、注冊(cè)表。內(nèi)核調(diào)試熟練使用WinDbg進(jìn)行雙機(jī)調(diào)試分析內(nèi)核崩潰轉(zhuǎn)儲(chǔ)。漏洞利用研究如何利用已簽名驅(qū)動(dòng)中的漏洞這屬于“Living-off-the-Land”攻擊技術(shù)的一部分。操作系統(tǒng)安全機(jī)制深入理解PatchGuard、虛擬化安全、Credential Guard等現(xiàn)代Windows安全特性的設(shè)計(jì)與實(shí)現(xiàn)。驅(qū)動(dòng)簽名的攻防是Windows安全戰(zhàn)場(chǎng)上一個(gè)持續(xù)交鋒的縮影。作為開(kāi)發(fā)者或研究者看清這場(chǎng)博弈的全貌不僅能讓你掌握實(shí)用的技術(shù)更能讓你建立起對(duì)復(fù)雜系統(tǒng)安全性的立體認(rèn)知。無(wú)論你站在哪一邊這種認(rèn)知都是無(wú)比寶貴的。