搜索

[11659] 2017-08-13_Windows10S中的DeviceGuard详解（上篇）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-08-13_Windows10S中的DeviceGuard详解（上篇） W i n d o w s   1 0   S 中 的 D e v i c e   G u a r d 详 解 （ 上 篇 ） 华 为 未 然 实 验 室   F r e e B u f   2 0 1 7 - 0 8 - 1 3 本 文 探 讨 本 文 探 讨 W i n d o w s   1 0   S （ 下 称 （ 下 称 W i n 1 0 S ） 中 的 ） 中 的 D e v i c e   G u a r d （ 设 备 保 护 ， 下 称 （ 设 备 保 护 ， 下 称 D G ） 。 我 将 提 取 策 略 ， 并 弄 清 楚 ） 。 我 将 提 取 策 略 ， 并 弄 清 楚 在 默 认 在 默 认 W i n 1 0 S 系 统 上 可 以 和 不 可 以 运 行 什 么 。 我 将 在 下 一 篇 文 章 中 介 绍 在 不 安 装 任 何 额 外 软 件 （ 如 系 统 上 可 以 和 不 可 以 运 行 什 么 。 我 将 在 下 一 篇 文 章 中 介 绍 在 不 安 装 任 何 额 外 软 件 （ 如 O f f i c e ） 或 ） 或 升 级 到 升 级 到 W i n d o w s   1 0   P r o 的 情 况 下 实 现 任 意 代 码 执 行 的 一 些 方 法 。 的 情 况 下 实 现 任 意 代 码 执 行 的 一 些 方 法 。 W i n 1 0 S 是 第 一 个 向 消 费 者 发 布 的 通 过 D G 预 先 锁 定 的 W i n d o w s 操 作 系 统 。 D G 是 基 于 W i n d o w s V i s t a 中 引 入 的 内 核 模 式 代 码 完 整 性 （ K M C I ） 和 W i n d o w s   8   R T 中 引 入 的 用 户 模 式 代 码 完 整 性 （ U M C I ） 。 D G 包 含 诸 多 限 制 代 码 执 行 的 特 性 ， 基 于 一 组 策 略 规 则 限 制 什 么 类 型 的 可 执 行 文 件 / 脚 本 （ 包 括 D L L ） 可 以 加 载 。 要 找 到 在 带 D G 的 系 统 中 运 行 任 意 代 码 的 方 法 ， 我 认 为 第 一 步 是 要 提 取 D G 策 略 并 检 查 其 缺 陷 。 提 取 提 取 D G 系 统 完 整 性 策 略 系 统 完 整 性 策 略 D G 的 执 行 通 过 系 统 完 整 性 ( S I ) 策 略 配 置 。 S I 策 略 作 为 二 进 制 文 件 存 储 在 磁 盘 上 。 当 操 作 系 统 启 动 时 ， W I N L O A D 或 内 核 C I   驱 动 程 序 将 策 略 加 载 到 内 存 中 ， 并 根 据 配 置 的 各 种 规 则 开 始 执 行 。 文 件 的 位 置 取 决 于 策 略 的 部 署 方 式 。 我 使 用 的 是 预 装 了 W i n 1 0 S   的 S u r f a c e 笔 记 本 电 脑 ， 策 略 位 于 C : W i n d o w s B o o t E F I 文 件 夹 中 ， 名 为 w i n s i p o l i c y . p 7 b 。 该 文 件 无 读 取 限 制 ， 我 们 可 以 提 取 其 内 容 ， 因 此 可 以 确 定 执 行 的 是 什 么 策 略 。 但 是 ， 据 我 所 知 ， 没 有 官 方 文 档 描 述 该 二 进 制 策 略 文 件 格 式 。 有 一 个 C o n f i g C I   P o w e r s h e l l 模 块 可 将 X M L 文 件 转 换 为 二 进 制 策 略 。 但 是 没 有 相 应 的 命 令 执 行 相 反 的 操 作 。 M a t t G r a e b e r 编 写 了 一 个 可 将 二 进 制 格 式 转 换 回 X M L 格 式 的 P o w e r s h e l l 脚 本 。 但 原 始 脚 本 有 些 问 题 ， 因 此 我 做 了 一 些 修 改 ， 以 完 全 支 持 W i n 1 0 S 中 使 用 的 策 略 格 式 ， 并 修 复 了 一 些 b u g 。 M a t t 用 我 的 修 补 程 序 在 g i t h u b 上 更 新 了 其 副 本 ， 可 点 击 此 处 获 取 。 将 脚 本 加 载 到 P o w e r s h e l l 中 ， 然 后 运 行 以 下 命 令 ： C o n v e r t T o - C I P o l i c y w i n s i p o l i c y . p 7 b   o u t p u t . x m l 转 换 后 得 到 我 们 可 以 阅 读 的 X M L 文 件 。 X M L 文 件 可 从 M a t t 的 博 文 获 取 。 接 下 来 我 们 分 成 几 个 部 分 一 一 探 讨 。 系 统 完 整 性 策 略 规 则 系 统 完 整 性 策 略 规 则 第 一 个 重 要 的 部 分 是 定 义 一 组 在 系 统 完 整 性 策 略 中 启 用 的 布 尔 选 项 的 规 则 。 第 一 个 选 项 启 用 U M C I 。 默 认 情 况 下 ， D G 不 执 行 U M C I ， 但 执 行 K M C I 。 第 二 个 选 项 启 用 “ 高 级 启 动 选 项 菜 单 ” ， 这 有 点 意 思 ， 因 为 默 认 情 况 下 ， 菜 单 为 禁 用 状 态 ， 该 策 略 允 许 系 统 用 户 对 启 动 过 程 有 更 多 的 控 制 。 第 三 个 选 项 是 “ 执 行 应 用 商 店 应 用 程 序 ” 。 这 确 保 你 不 能 为 应 用 商 店 应 用 程 序 禁 用 U M C I 。 如 果 没 有 这 种 设 置 ， 就 可 以 配 置 一 个 s i d e - l o a d i n g 策
略 ， 如 此 你 就 可 以 部 署 自 己 的 U W P 应 用 程 序 。 由 于 W i n 1 0 S 的 宗 旨 是 “ 安 全 性 ” ， 所 以 只 允 许 应 用 商 店 签 名 的 U W P 应 用 程 序 ， 我 将 在 “ 允 许 的 签 名 者 ” 部 分 解 释 这 一 点 。 最 后 一 个 是 “ 条 件 性 W i n d o w s 锁 定 策 略 ” ， 其 似 乎 与 W i n d o w s 1 0 S   S K U 和 锁 定 策 略 最 终 可 被 禁 用 的 可 能 性 相 关 联 。 这 与 许 可 值 和 系 统 环 境 变 量 “ K e r n e l _ C I _ S K U _ U N L O C K E D ” 有 关 。 文 件 规 则 文 件 规 则 接 下 来 是 一 组 文 件 规 则 。 这 通 常 用 于 将 已 知 可 绕 过 D G 及 可 让 你 轻 易 运 行 任 意 代 码 的 具 体 可 执 行 文 件 列 入 黑 名 单 。 这 与 微 软 在 其 D G 部 署 指 南 中 提 供 的 列 表 接 近 。 不 过 微 软 还 阻 止 了 注 册 表 编 辑 工 具 和 W i n d o w s 脚 本 宿 主 等 内 容 。 对 于 每 个 拒 绝 规 则 ， 策 略 指 定 一 个 文 件 名 和 最 低 文 件 版 本 。 注 意 ， 在 拒 绝 规 则 中 ， 最 低 版 本 实 则 是 最 高 版 本 。 这 就 是 说 ， 规 则 仅 适 用 于 版 本 号 低 于 指 定 版 本 的 文 件 。 由 于 每 个 规 则 的 版 本 设 置 均 为 6 5 5 3 5 . 6 5 5 3 5 . 6 5 5 3 5 . 6 5 5 3 5 ， 这 是 绝 对 最 大 值 ， 这 就 确 保 了 任 何 版 本 的 可 执 行 文 件 均 无 法 执 行 。 文 件 名 和 版 本 从 可 执 行 文 件 的 版 本 资 源 中 提 取 ， 这 意 味 着 仅 仅 将 c m d . e x e 重 命 名 为 b a d g e r . e x e 并 不 能 解 决 问 题 ， 策 略 会 看 到 版 本 资 源 中 的 原 始 文 件 名 并 阻 止 执 行 。 如 果 尝 试 修 改 版 本 资 源 ， 那 么 文 件 的 签 名 不 再 匹 配 ， 你 就 无 法 通 过 签 名 策 略 。 对 于 微 软 为 何 要 全 力 阻 止 C M D 这 样 的 东 西 ， 原 因 尚 不 十 分 清 楚 。 我 们 确 实 可 以 用 其 运 行 命 令 ， 但 签 名 策 略 一 定 程 度 上 限 制 了 可 运 行 什 么 可 执 行 文 件 。 阻 止 P o w e r S h e l l 和 W S c r i p t 我 还 较 为 理 解 ， 但 正 如 我 们 稍 后 会 看 到 的 ， 这 些 文 件 策 略 规 则 只 能 作 为 防 止 我 们 实 现 任 意 代 码 执 行 的 减 速 带 。 允 许 的 签 名 者 允 许 的 签 名 者 现 在 我 们 来 看 看 D G 策 略 允 许 什 么 签 名 者 （ 假 设 其 未 被 文 件 规 则 阻 止 ） 。 首 先 ， D G 策 略 定 义 允 许 的 签 名 者 列 表 ， 该 列 表 稍 后 在 策 略 配 置 中 引 用 。 允 许 的 签 名 者 列 表 如 下 ：

大 多 数 签 名 证 书 使 用 一 种 特 殊 的 “ 知 名 ” 格 式 ， 仅 用 一 个 数 字 值 来 标 识 证 书 。 找 出 这 些 数 字 值 对 应 的 证 书 可 能 比 较 麻 烦 。 还 好 ， W i n 1 0 S 中 的 P o w e r s h e l l   C o n f i g C I 模 块 有 示 例 策 略 文 件 ， 比 如 D e f a u l t _ W i n d o w s E n f o r c e d . x m l ， 即 使 其 未 明 确 显 示 使 用 的 证 书 ， 但 至 少 给 出 了 名 称 （ 毕 竟 其 可 能 是 多 个 M i c r o s o f t   P r o d u c t   R o o t   2 0 1 0 证 书 ） 。 比 如 ， “ M i c r o s o f t P r o d u c t   R o o t   2 0 1 0 ” 可 能 是 以 下 r o o t （ 是 W i n 1 0 S 中 几 乎 所 有 签 名 文 件 的 r o o t 证 书 ） ： 但 是 ， 由 白 名 单 签 名 者 签 名 还 不 够 ， 这 未 免 太 多 简 单 。 你 还 必 须 在 证 书 链 中 具 有 特 定 的 增 强 型 密 钥 用 法 （ E K U ） 。 因 此 ， 比 如 ， 签 名 者 I D _ S I G N E R _ W I N D O W S _ P R O D U C T I O N _ U S E R 必 须 具 有 O I D 值 为 1 . 3 . 6 . 1 . 4 . 1 . 3 1 1 . 1 0 . 3 . 6 的 E K U I D _ E K U _ W I N D O W S 。 W i n d o w s 二 进 制 文 件 设 置 了 该 E K U ， 但 如 果 由 相 同 r o o t 签 名 的 二 进 制 文 件 （ 比 如 W i n D B G ） 也 由 微 软 签 名 ， 但 未 设 置 该 E K U ， 这 意 味 着 其 不 加 载 。 从 这 一 信 息 我 们 可 以 理 解 由 应 用 商 店 签 名 意 味 着 什 么 。 这 是 特 定 证 书 链 和 特 定 应 用 商 店 E K U 的 结 合 。 这 反 映 在 I D _ S I G N E R _ S T O R E 签 名 规 则 中 。
对 于 内 核 代 码 ， 允 许 以 下 签 名 者 ： 对 于 用 户 模 式 ， 允 许 以 下 签 名 者 ： 这 里 唯 一 突 出 的 是 I D _ S I G N E R _ D R M 的 用 户 模 式 签 名 ， 因 为 其 是 D R M 的 预 信 任 的 r o o t 密 钥 。 几 乎 肯 定 可 以 从 多 个 图 形 驱 动 程 序 为 链 到 该 r o o t 的 证 书 获 取 一 个 私 钥 。 我 尚 未 对 此 进 行 测 试 ， 但 是 虽 然 可 通 过 从 内 核 驱 动 程 序 获 取 私 钥 而 链 到 该 r o o t （ 假 设 其 在 软 件 中 ） ， 但 你 可 以 构 建 的 链 可 能 不 适 合 代 码 签 名 ， 但 这 值 得 一 看 。 签 名 者 的 最 终 用 途 是 指 定 谁 可 以 签 署 和 更 新 策 略 。 要 使 用 未 签 名 的 策 略 ， 必 须 设 置 “ E n a b l e d : U n s i g n e d   S y s t e m   I n t e g r i t y
P o l i c y ” 。 但 是 ， 如 上 文 所 述 ， 情 况 并 非 如 此 。 你 可 以 在 以 下 代 码 段 中 看 到 哪 个 签 名 者 可 以 签 署 策 略 。 该 策 略 使 用 的 是 I D _ S I G N E R _ W I N D O W S _ P R O D U C T I O N _ U S E R _ 2 0 1 1 ， 这 是 一 个 “ 待 签 名 ” 证 书 ， 而 非 “ 知 名 ” 证 书 。 所 以 我 们 需 要 找 到 匹 配 这 个 哈 希 值 的 实 际 证 书 。 但 是 据 我 们 推 测 ， 这 几 乎 肯 定 是 签 署 现 有 w i n s i p o l i c y . p 7 b 文 件 的 r o o t 之 一 。 我 们 可 以 使 用 M a t t 的 脚 本 中 的 G e t - C I B i n a r y P o l i c y C e r t i f i c a t e c m d l e t 来 转 储 证 书 ， 然 后 使 用 C o n f i g C I P o w e r s h e l l 模 块 生 成 T B S 值 ， 我 们 可 以 看 到 这 与 之 前 的 T B S 值 匹 配 ： 结 论 结 论 总 体 而 言 ， 从 基 本 的 D G 策 略 角 度 来 看 ， W i n 1 0 S 似 乎 是 合 理 的 。 实 际 上 ， 只 有 微 软 签 名 的 代 码 可 以 运 行 ， 还 有 就 是 证 书 中 有 W H Q L 或 W i n d o w s   E K U 的 代 码 ， 因 此 ， 除 操 作 系 统 预 装 的 东 西 之 外 ， 要 找 到 可 以 利 用 的 有 用 东 西 很 困 难 。 当 然 ， 通 过 D e s k t o p   B r i d g e 应 用 程 序 （ 应 用 商 店 有 效 签 名 的 W i n 3 2 应 用 程 序 ） ， 再 加 上 W i n d o w s 驱 动 程 序 开 发 者 水 平 并 非 很 高 超 ， 无 疑 能 找 到 一 些 可 安 装 到 系 统 来 利 用 的 代 码 。 你 只 需 要 看 看 O f f i c e ， O f f i c e 允 许 从 应 用 商 店 安 装 ， 其 具 有 完 整 的 V B A 宏 功 能 。 缺 少 的 是 未 使 用 任 何 基 于 H y p e r - V 的 执 行 — — 以 通 过 H y p e r G u a r d 或 H V C I 代 码 完 整 性 执 行 限 制 删 除 策 略 或 确 保 内 核 模 式 完 整 性 。 这 是 严 重 的 缺 点 ， 并 不 是 W i n 1 0 S 不 支 持 H y p e r - V ， 你 甚 至 可 以 安 装 完 整 的 H y p e r - V 和 配 置 工 具 。 这 允 许 你 在 锁 定 平 台 之 上 在 V M 中 运 行 正 常 版 本 的 W i n d o w s ， 这 实 际 上 不 错 。 但 这 意 味 着 系 统 完 整 性 策 略 不 受 很 好 保 护 ， 我 们 将 在 后 续 文 章 对 此 进 行 探 讨 。 * 本 文 作 者 ： 华 为 未 然 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理