[原创] Vista ~ Win11动态过DSE(Driver Signature Enforcement)-茶余饭后-看雪安全社区

[原创] Vista ~ Win11动态过DSE(Driver Signature Enforcement)

发表于: 2024-11-23 15:19 9503

[原创] Vista ~ Win11动态过DSE(Driver Signature Enforcement)

KALI_MC

2024-11-23 15:19

9503

从 Windows Vista 开始微软引入了驱动签名强制(Driver Signature Enforcement)
具体文章在这：
<mark class="encrypted">310K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6D9k6h3q4J5L8W2)9J5k6h3#2A6j5%4u0G2M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4A6Z5i4K6u0V1j5$3&6Q4x3V1k6%4K9h3&6V1L8%4N6K6i4K6u0V1K9r3q4J5k6s2N6S2M7X3g2Q4x3V1k6V1M7X3W2$3k6i4u0K6i4K6u0r3K9h3&6K6N6r3q4D9L8q4)9J5c8Y4N6A6L8X3c8G2N6%4y4Q4x3X3c8V1M7X3W2$3k6i4u0Q4x3X3c8K6K9h3N6F1K9h3&6Y4i4K6u0V1N6s2g2@1L8%4u0A6j5h3H3`.</mark>
 ![图片描述](upload/attach/202411/1003743_MNMAZEZ9265YHQK.webp)
这东西只要开着只要驱动没签名就加不上
 ![图片描述](upload/attach/202411/1003743_P2TPTBDN3SCRY4Y.webp)
但是这东西是可以动态关掉的
 ![图片描述](upload/attach/202411/1003743_5K8TB2SPKUZFH5P.webp)
WKE里就有这个功能
那又要怎么实现呢?
其实很简单找ci.dll里的g_CiOptions地址然后改成0即可
 ![图片描述](upload/attach/202411/1003743_WDZHS3FJ2PNZYJH.webp)
但是g_CiOptions的偏移不是固定的在不同的系统上有变化
但是ci.dll是有pdb的可以现场解析pdb找偏移
但是断网就寄了
所以最简单的方法就是硬编码
EfiGuard的项目里就有类似的源码可以 ~~参考~~（抄）
<mark class="encrypted">d25K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6y4j5i4c8@1K9i4N6S2N6s2c8A6i4K6u0r3c8h3k6A6c8%4g2S2M7X3c8Q4x3V1k6T1L8r3!0T1i4K6u0r3L8h3q4K6N6r3g2J5i4K6u0r3b7i4m8H3L8r3W2U0j5i4c8A6L8$3&6Q4x3V1k6q4k6X3W2p5f1@1g2r3K9i4S2Q4x3V1k6K6M7X3y4Q4x3V1k6q4k6X3W2p5f1@1g2r3K9i4S2Q4x3X3g2U0M7s2l9`.</mark>
至此获取地址解决了
 ![图片描述](upload/attach/202411/1003743_ZWDVERT9ZX5KVG7.webp)
但是这东西必须要在内核里改
总不能写个驱动去改吧
那还不如直接签名呢(
其实可以去找有任意地址读写的驱动
我这里直接就用RTCore来演示了(
 ![图片描述](upload/attach/202411/1003743_RA8335VZDN6R4M7.webp)
关闭后即可加载驱动
 ![图片描述](upload/attach/202411/1003743_X8SFZ6B8J5CQG97.webp)
开起来又加载不了了（0是完全关闭,6是开启,8是测试模式）

**注意！不改回来会触发PatchGuard蓝屏**

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

上传的附件：

DisabledDSE.exe （47.00kb，350次下载）

收藏・20

点赞・4

打赏

最新回复 (10)
romobin 雪币： 11326 活跃值： (8724) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 275 粉丝 57 关注私信	romobin 2 楼感谢更新程序，这个之前用过很好用，不知道现在稳定吗？如果禁用了马上安装驱动，然后在启用，是否过段时间会蓝屏呢 2024-11-24 02:06 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 3 楼 romobin 感谢更新程序，这个之前用过很好用，不知道现在稳定吗？如果禁用了马上安装驱动，然后在启用，是否过段时间会蓝屏呢加载完驱动再开回去就不会 2024-11-24 08:37 0
romobin 雪币： 11326 活跃值： (8724) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 275 粉丝 57 关注私信	romobin 4 楼 KALI_MC 加载完驱动再开回去就不会那就非常nice了，楼主能否开源或者提供个dll版的方便调用呢？ 2024-11-24 13:05 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 5 楼 romobin 那就非常nice了，楼主能否开源或者提供个dll版的方便调用呢？这个东西挺简单的,取这个地址的方法也有很多,最简单的就直接ci.dll地址+偏移(win10是0x3a308)就是g_CiOptions的地址直接改成0 就行了 2024-11-24 13:43 0
StarsunYzL 雪币： 422 活跃值： (3872) 能力值： ( LV3，RANK：30 ) 在线值：发帖 29 回帖 446 粉丝 1 关注私信	StarsunYzL 6 楼没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard，虽然也有小概率会蓝 2024-11-28 11:46 1
milko 雪币： 1515 活跃值： (2530) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 7 楼 StarsunYzL 没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard ... 确实是，写了个demo测试了下，还原还是蓝~ 2024-11-29 17:35 1
superlover 雪币： 13389 活跃值： (7811) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 109 粉丝 1 关注私信	superlover 8 楼 StarsunYzL 没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard ... 通过已签名的驱动加载未签名的会蓝吗？ 2024-11-29 21:17 0
milko 雪币： 1515 活跃值： (2530) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 9 楼 superlover 通过已签名的驱动加载未签名的会蓝吗？现成的方案 kdmapper 2024-11-30 09:39 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 10 楼 milko 确实是，写了个demo测试了下，还原还是蓝~ OpenArk也是关DSE来加载的,OpenArk开源的源代码是5年前的新版用的RTCore关DSE,蓝屏大概率是地址问题 2024-11-30 14:12 0
大.大雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	大.大 11 楼 milko 现成的方案 kdmapper kdmapper 还能用吗 2025-10-8 17:44 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (10)
romobin 雪币： 11326 活跃值： (8724) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 275 粉丝 57 关注私信	romobin 2 楼感谢更新程序，这个之前用过很好用，不知道现在稳定吗？如果禁用了马上安装驱动，然后在启用，是否过段时间会蓝屏呢 2024-11-24 02:06 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 3 楼 romobin 感谢更新程序，这个之前用过很好用，不知道现在稳定吗？如果禁用了马上安装驱动，然后在启用，是否过段时间会蓝屏呢加载完驱动再开回去就不会 2024-11-24 08:37 0
romobin 雪币： 11326 活跃值： (8724) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 275 粉丝 57 关注私信	romobin 4 楼 KALI_MC 加载完驱动再开回去就不会那就非常nice了，楼主能否开源或者提供个dll版的方便调用呢？ 2024-11-24 13:05 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 5 楼 romobin 那就非常nice了，楼主能否开源或者提供个dll版的方便调用呢？这个东西挺简单的,取这个地址的方法也有很多,最简单的就直接ci.dll地址+偏移(win10是0x3a308)就是g_CiOptions的地址直接改成0 就行了 2024-11-24 13:43 0
StarsunYzL 雪币： 422 活跃值： (3872) 能力值： ( LV3，RANK：30 ) 在线值：发帖 29 回帖 446 粉丝 1 关注私信	StarsunYzL 6 楼没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard，虽然也有小概率会蓝 2024-11-28 11:46 1
milko 雪币： 1515 活跃值： (2530) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 7 楼 StarsunYzL 没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard ... 确实是，写了个demo测试了下，还原还是蓝~ 2024-11-29 17:35 1
superlover 雪币： 13389 活跃值： (7811) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 109 粉丝 1 关注私信	superlover 8 楼 StarsunYzL 没啥用，动态改了后即使再改回原始值也很大概率蓝屏的，只是蓝屏的时间不定而已，有时候几分钟，有时候几个小时，而且本来就有现成的工具可以不联网直接动态改DSE，想要相对稳定长时间使用还得是EfiGuard ... 通过已签名的驱动加载未签名的会蓝吗？ 2024-11-29 21:17 0
milko 雪币： 1515 活跃值： (2530) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 73 粉丝 6 关注私信	milko 9 楼 superlover 通过已签名的驱动加载未签名的会蓝吗？现成的方案 kdmapper 2024-11-30 09:39 0
KALI_MC 雪币： 31 能力值： ( LV1，RANK：0 ) 在线值：发帖 5 回帖 13 粉丝 7 关注私信	KALI_MC 10 楼 milko 确实是，写了个demo测试了下，还原还是蓝~ OpenArk也是关DSE来加载的,OpenArk开源的源代码是5年前的新版用的RTCore关DSE,蓝屏大概率是地址问题 2024-11-30 14:12 0
大.大雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	大.大 11 楼 milko 现成的方案 kdmapper kdmapper 还能用吗 2025-10-8 17:44 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复