-
-
windows10及以上本地驱动加载黑名单查看
-
发表于: 2022-6-16 07:23
-
之前测试程序一直用上海域联的签名进行测试，后来有一天发现用不了，突然意识到windows开始使用证书黑名单策略了。它的这个策略不仅会在系统启动以后拦截驱动加载，还可以拦截boot启动的驱动。它的这个策略是通过系统更新下发的。如果你的系统已经加载了黑签名签过的驱动，策略更新将会失败，这样有效的避免了因拦截驱动加载可能引发的一系列问题。
昨天看到论坛上有人讨论这个问题，原帖在这里，评论区有人提到了这个问题且给出了微软的官方说明
既然这个文件更新到本地的话，它到底保存在哪里呢？可不可以查看？可不可以修改呢？带着这些问题我出发了。最后在C:\Windows\System32\CodeIntegrity\driversipolicy.p7b 下找到了。
结果发现并不是XML格式。后来在github上找到了把二进制转化为XML的脚本。
1、启用脚本执行 set-ExecutionPolicy RemoteSigned
注：必须使用管理员权限
2、导入脚本，我的脚本文件夹在桌面。
cd C:\Users\test\Desktop
Import-Module .\WDACTools
3、执行脚本函数转换格式 ConvertTo-WDACCodeIntegrityPolicy
然后依次输入要转换的源文件路径和转换后的文件路径
到这里已经转换成功了。
XML格式转p7b的话，直接使用原生命令就可以
ConvertFrom-CIPolicy -XmlFilePath XML路径 -BinaryFilePath p7b文件路径
修改完以后重新转换成p7b格式替换掉原来的文件就可以了。
参考来源
启用脚本执行
xml格式转p7b格式
脚本github地址
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
意义不是 很大
搜到
