windows10及以上本地驱动加载黑名单查看-编程技术-看雪安全社区

之前测试程序一直用上海域联的签名进行测试，后来有一天发现用不了，突然意识到windows开始使用证书黑名单策略了。它的这个策略不仅会在系统启动以后拦截驱动加载，还可以拦截boot启动的驱动。它的这个策略是通过系统更新下发的。如果你的系统已经加载了黑签名签过的驱动，策略更新将会失败，这样有效的避免了因拦截驱动加载可能引发的一系列问题。
    昨天看到论坛上有人讨论这个问题，[原帖在这里](https://bbs.pediy.com/thread-272998.htm)，评论区有人提到了这个问题且给出了<a href="elink@3afK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8$3y4K6i4K6u0W2L8h3W2U0M7X3!0K6L8$3k6@1i4K6u0W2j5$3!0E0i4K6u0r3k6h3&6Q4x3X3c8#2M7#2)9J5c8Y4N6A6L8X3c8G2N6%4y4Q4x3V1k6K6k6h3y4#2M7X3W2@1P5g2)9J5c8Y4c8Z5M7X3g2S2N6q4)9J5k6s2m8J5L8%4c8W2j5%4c8A6L8$3&6Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0V1k6r3g2X3k6h3&6V1k6i4u0Q4x3X3c8S2M7s2m8D9K9h3y4S2N6r3W2G2L8W2)9J5k6r3y4G2L8Y4c8J5L8$3I4Q4x3V1k6E0K9h3y4J5L8%4y4G2k6Y4c8Q4x3X3c8J5k6h3y4G2L8h3#2W2L8X3c8W2k6q4)9J5k6r3c8J5K9i4k6W2M7W2)9J5k6r3u0D9L8$3y4C8i4K6u0V1M7Y4g2D9k6i4x3`.">微软的官方说明</a>
    既然这个文件更新到本地的话，它到底保存在哪里呢？可不可以查看？可不可以修改呢？带着这些问题我出发了。最后在**C:\Windows\System32\CodeIntegrity\driversipolicy.p7b** 下找到了。
结果发现并不是XML格式。后来在github上找到了把二进制转化为XML的脚本。
1、启用脚本执行 **set-ExecutionPolicy RemoteSigned**
  ![](upload/attach/202206/444209_VC8SHZZR4AUHHEH.jpg)
**注：必须使用管理员权限**

2、导入脚本，我的脚本文件夹在桌面。
   **cd C:\Users\test\Desktop
   Import-Module .\WDACTools**

3、执行脚本函数转换格式 **ConvertTo-WDACCodeIntegrityPolicy**
   然后依次输入要转换的源文件路径和转换后的文件路径
  ![](upload/attach/202206/444209_J22AXQ7HNRQNV4T.jpg)
 ![](upload/attach/202206/444209_BZWAJ83ENS3AKC5.jpg)
到这里已经转换成功了。

XML格式转p7b的话，直接使用原生命令就可以
**ConvertFrom-CIPolicy -XmlFilePath XML路径 -BinaryFilePath p7b文件路径**
修改完以后重新转换成p7b格式替换掉原来的文件就可以了。

参考来源
<a href="elink@569K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6*7K9s2g2S2L8X3I4S2L8W2)9J5k6i4A6Z5K9h3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0b7&6x3K6b7&6y4U0l9^5z5b7`.`.">启用脚本执行</a>
<a href="elink@1ceK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8$3y4K6i4K6u0W2L8h3W2U0M7X3!0K6L8$3k6@1i4K6u0W2j5$3!0E0i4K6u0r3k6h3&6Q4x3X3c8#2M7#2)9J5c8Y4m8G2N6$3g2J5M7$3S2W2L8r3I4Q4x3V1k6E0L8$3c8#2L8r3g2Q4x3V1k6U0L8$3&6X3K9h3N6U0K9g2)9J5c8X3y4G2L8Y4k6W2M7Y4c8X3M7X3!0E0i4K6u0V1j5$3W2H3L8$3I4A6j5%4W2Q4x3@1k6$3K9h3g2%4i4K6y4p5N6$3W2F1k6r3!0%4M7%4y4W2M7Y4k6W2M7U0t1H3x3U0u0Q4x3X3c8H3M7H3`.`.">xml格式转p7b格式</a>
<a href="elink@e3cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6E0j5i4c8@1K9h3k6W2M7%4c8S2N6r3W2G2L8W2)9J5c8W2N6p5b7f1y4f1L8$3!0D9M7H3`.`.">脚本github地址</a>

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2022-6-16 07:44 被简单未遂编辑，原因：

#开源分享

上传的附件：

WDACTools.7z （26.88kb，470次下载）

最新回复 (34) 1 2 ▶
syser 雪币： 6086 活跃值： (7555) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 241 粉丝 10 关注私信	syser 2 楼不错的研究 2022-6-16 10:07 1
ldljlzw 雪币： 12115 活跃值： (9808) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 462 粉丝 2 关注私信	ldljlzw 3 楼这个很不错,看了不得不回一下! 2022-6-16 10:46 0
TkBinary 雪币： 7311 活跃值： (13389) 能力值： (RANK：385 ) 在线值：发帖 26 回帖 533 粉丝 250 关注私信	TkBinary 5 4 楼谢谢分享 2022-6-16 10:52 0
xwtwho 雪币： 7145 活跃值： (9908) 能力值： ( LV13，RANK：409 ) 在线值：发帖 15 回帖 124 粉丝 240 关注私信	xwtwho 1 5 楼谢谢分享，之前本地都是启动关掉DSE的，后面试试你这个方法 2022-6-16 12:01 0
kakasasa 雪币： 577 活跃值： (2030) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 294 粉丝 5 关注私信	kakasasa 6 楼 mark 感谢分享 2022-6-16 16:52 0
fengyunabc 雪币： 5418 活跃值： (6237) 能力值： ( LV4，RANK：50 ) 在线值：发帖 11 回帖 634 粉丝 27 关注私信	fengyunabc 1 7 楼感谢分享！ 2022-6-16 19:22 0
shun其自然雪币： 3144 活跃值： (1624) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 50 粉丝 4 关注私信	shun其自然 8 楼意义不是很大 2022-6-17 00:15 0
万剑归宗雪币： 914 活跃值： (3188) 能力值： ( LV5，RANK：68 ) 在线值：发帖 6 回帖 515 粉丝 37 关注私信	万剑归宗 1 9 楼一眼CPUZ 2022-6-17 08:57 1
二娃雪币： 6313 活跃值： (1305) 能力值： ( LV4，RANK：50 ) 在线值：发帖 1 回帖 62 粉丝 4 关注私信	二娃 10 楼感谢楼主分享 2022-6-17 17:38 0
killleer 雪币： 1554 活跃值： (2652) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 92 粉丝 11 关注私信	killleer 11 楼万剑归宗一眼CPUZ 一眼某apt三连白驱动 2022-6-17 18:08 0
风中小筑V 雪币： 1378 活跃值： (3067) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 81 粉丝 2 关注私信	风中小筑V 12 楼有意思 2022-6-17 22:05 0
Grav1ty 雪币： 1987 活跃值： (4351) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 48 粉丝 3 关注私信	Grav1ty 13 楼谢谢分享 2022-6-20 01:52 0
pizazzboy 雪币： 5247 活跃值： (2600) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 25 粉丝 2 关注私信	pizazzboy 14 楼谢谢分享 2022-6-20 08:47 0
dearfuture 雪币： 2413 活跃值： (3266) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 66 粉丝 1 关注私信	dearfuture 15 楼如果编辑xml去掉被拉黑的签名，然后转成p7b替换掉C:\Windows\System32\CodeIntegrity\driversipolicy.p7b，那被拉黑的签名是不是再这台机就能用了？ 2022-6-20 17:17 0
dearfuture 雪币： 2413 活跃值： (3266) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 66 粉丝 1 关注私信	dearfuture 16 楼顺便问一下，是哪条规则把上海域联拉黑的？我按证书信息的“指纹”，颁发者，shanghai之类的都没在xml搜到 2022-6-20 17:36 0
wx_0xC05StackOver 雪币： 208 活跃值： (3179) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 127 粉丝 14 关注私信	wx_0xC05StackOver 17 楼有意思 2022-6-21 11:22 0
saloyun 雪币： 2230 活跃值： (5398) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 273 粉丝 4 关注私信	saloyun 18 楼厉害啊。。。 2022-6-21 16:12 0
飘零丶雪币： 10346 活跃值： (169460) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 21 粉丝 8 关注私信	飘零丶 19 楼感谢分享 2022-7-11 11:14 0
醉後的温柔雪币： 6384 活跃值： (1226) 能力值： ( LV2，RANK：10 ) 在线值：发帖 12 回帖 168 粉丝 33 关注私信	醉後的温柔 20 楼你那里又不缺证书使用我丢了那么多给你你还去研究这个？ 2022-7-11 14:13 0
简单未遂雪币： 59 活跃值： (740) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 10 粉丝 15 关注私信	简单未遂 21 楼回复17楼: dcdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1L8$3y4K6i4K6u0W2L8h3W2U0M7X3!0K6L8$3k6@1i4K6u0W2j5$3!0E0i4K6u0r3k6h3&6Q4x3X3c8#2M7#2)9J5c8Y4N6A6L8X3c8G2N6%4y4Q4x3V1k6K6k6h3y4#2M7X3W2@1P5g2)9J5c8Y4c8Z5M7X3g2S2N6q4)9J5k6s2m8J5L8%4c8W2j5%4c8A6L8$3&6Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0V1k6r3g2X3k6h3&6V1k6i4u0Q4x3X3c8S2M7s2m8D9K9h3y4S2N6r3W2G2L8W2)9J5k6r3y4G2L8Y4c8J5L8$3I4Q4x3V1k6E0K9h3y4J5L8%4y4G2k6Y4c8Q4x3X3c8J5k6h3y4G2L8h3#2W2L8X3c8W2k6q4)9J5k6r3c8J5K9i4k6W2M7W2)9J5k6r3u0D9L8$3y4C8i4K6u0V1M7Y4g2D9k6i4y4Q4x3U0k6F1j5Y4y4H3i4K6y4n7i4@1f1#2i4K6W2o6i4@1p5^5i4@1f1^5i4@1u0r3i4K6V1&6i4@1f1&6i4K6R3%4i4K6S2o6i4@1f1#2i4K6S2r3i4@1q4r3i4@1f1@1i4@1u0n7i4@1p5#2i4@1f1%4i4K6W2o6i4K6S2n7i4@1f1#2i4K6R3^5i4@1t1H3i4@1f1K6i4K6R3H3i4K6R3J5 最后于 2022-7-13 02:26 被简单未遂编辑，原因： 2022-7-13 02:10 0
简单未遂雪币： 59 活跃值： (740) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 10 粉丝 15 关注私信	简单未遂 22 楼多学点技术没坏处回复21楼你那里又不缺证书使用我丢了那么多给你你还去研究这个？ 2022-7-13 02:32 0
天堂猪雪币： 177 活跃值： (278) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 95 粉丝 0 关注私信	天堂猪 23 楼删了文件好像也没什么效果。那这个文件存在的意义是什么最后于 2022-8-18 10:37 被天堂猪编辑，原因： 2022-8-17 17:05 0
YZJClear 雪币： 982 活跃值： (923) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 37 粉丝 0 关注私信	YZJClear 24 楼醉後的温柔你那里又不缺证书使用我丢了那么多给你你还去研究这个？大佬给我丢几个yaozhenj@qq.om 2023-8-23 21:59 0
halifax 雪币： 0 活跃值： (51) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	halifax 25 楼 dearfuture 顺便问一下，是哪条规则把上海域联拉黑的？我按证书信息的“指纹”，颁发者，shanghai之类的都没在xml[em_5]搜到找到了吗 2023-11-12 19:16 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复