самопальная подпись дровятины

дело в вин 8.1 х64

генерю и подписываюсь самопальным сертом

Код (Text):

1. makecert -r -sv myDrivers.pvk -n CN="Win WDK Test" myDrivers.cer
2. cert2spc myDrivers.cer myDrivers.spc
3. pvk2pfx -pvk myDrivers.pvk -pi password -spc myDrivers.spc -pfx myDrivers.pfx -po password
4. signtool sign /f myDrivers.pfx /p password /t http://timestamp.verisign.com/scripts/timstamp.dll /v mydriver1_u.sys
5.  

засовываю серт в localMachine ROOT и localMachine TRUSTEDPUBLISHER
иии нихрена не грузится без /set TESTSIGNING ON.

но ведь раньше вроде бы так можно было без тестового режима делать - просто закинув серт в хранилище? или нет, чёто и не помню уже.

 

sn0w, а ты обновления ставил?

 

если б все так просто было, добавляй свой серт и грузи дров, то эпидемия гуана завалила бы мир!

 

На китайской винде такое можно провернуть.
https://github.com/DoubleLabyrinth/Windows10-CustomKernelSigners

 

хаха, всем отписавшим спасибо))

да гуано и так завалило, например, - андроид мир, чего стоит одна контекстная реклама, в отношении тематики, по которой говоришь с другим человеком? выльется всё это рано или поздно в сплошную подписанную достоверными источниками хрень, и усё, матрица есть!
эпидемия гуана и завалила мир, но, бугага, вся она сертифицирована.

я гдето тут уже писал, когда девелоперы VisualStudio 2015 вшивали телеметрический код аж в RTL, а потом от этого открещивались всем чем можно, а затем выпилили эту наглость

 

У меня возник такой вопрос,может ли система накладывать какие-либо ограничения на работу драйвера с тестовой подписью или без неё ?

 

Не может

 

то есть не накладывает вообще не как ?

 

Вообще никак. Если система пустила тебя в ядро, никаких ограничений у тебя нет.

 

можно же. Есть утилита от TrustAsia, которая позволяет подписать бинарник. Делается это таким образом, что можно использовать любой сертификат, при условии, что он хоть когда-то был валидным (т.е. он может быть отозван или истечь на текущий момент, это не важно) и у вас есть приватный ключ от него, разумеется. Доступ в интернет при этом не требуется.

 

если работает Hyper-V то ограничения есть - нельзя работать с MSR, СR регистрами и тд.

 

Почему нельзя? Как тогда работают KeRaiseIrql и KeStackAttachProcess?
Ведь внутри mov cr8 и mov cr3 соответственно.
Как и разный софт для разгона, который работает с MSR.

Есть некоторые ограничения с HVCI/DeviceGuard, типа выделения динамической исполняемой памяти, но это частные случаи (и эту защиту надо специально включать).
В целом же, можешь делать с железками всё, что и в обычном Ring0.

 

Лол, думал так можно было тип makecert

Но обычно если софт черный, то он за час же палится. Ля, если так изи можно было бы, то аверы мимо

 

HoShiMin, хз, на кывте (rsdn) 1 кодер писал, что при гипервизоре "..даже из драйвера нельзя вызывать некоторые инструкции (типа сброса WP или SMEP-битов в регистрах CR) или читать память определенных приложений, несмотря на kernel mode и, казалось бы, абсолютный контроль над системой...".

 

Да, некоторые ограничения есть, но это частные случаи. В целом, доступны и CR, и MSR, и порты, и DMA.
Контроль у тебя по-прежнему полный, но т.к. ты работаешь уже в рамках гостевой системы, твои права не распространяются на сам гипервизор и на всё, что могло бы позволить его скомпрометировать

 

эти ограничения касаются Windows Enterprise и Server с установленным Hyper-V и вроде включенным Device Guardом

когда идет работа с привилегированными инструкциями делается vmexit, гипервизор проверяет какой код вызвал выход, если код имеет не ту подпись (WHQL) - то бсод, а так как даже нельзя динамически выделить страницу для исполнения, то получается весь код - подписан