簽名校驗(yàn)是Windows執(zhí)行鏈中一道看似堅(jiān)固的閘門但從業(yè)久了你會(huì)明白它更像一道減速帶。惡意代碼只要愿意付出一點(diǎn)代價(jià)總能找到方法碾過去。這篇文章我盡量把PE數(shù)字簽名校驗(yàn)的原理、繞過手段和防護(hù)思路講透全程偏實(shí)戰(zhàn)希望能幫安全測(cè)試人員和防御方都建立更準(zhǔn)確的威脅模型。1. 先搞清楚PE數(shù)字簽名到底校驗(yàn)了什么很多人對(duì)簽名的理解停留在“有簽名 官方出品 安全”這個(gè)認(rèn)知漏洞極大。用術(shù)語(yǔ)說簽名只能證明文件在簽名之后沒有被改動(dòng)以及簽名者身份經(jīng)過證書頒發(fā)機(jī)構(gòu)CA驗(yàn)證。它不能證明文件內(nèi)容是善意的也不能證明簽名者是可信任的。1.1 簽名信息在PE文件中的藏身之處Windows PE文件exe、dll、sys等的數(shù)字簽名主要存放在兩個(gè)地方Authenticode簽名表通常附加在PE文件末尾的Certificate Table證書表中由簽名工具如signtool寫入包含簽名者的證書鏈、時(shí)間戳以及文件的哈希值。內(nèi)嵌簽名部分文件如驅(qū)動(dòng)、Catalog文件會(huì)使用Catalog簽名將文件哈希記錄在系統(tǒng)目錄的編錄數(shù)據(jù)庫(kù)中而不是把簽名直接塞進(jìn)文件。這里需要理解一個(gè)關(guān)鍵機(jī)制Authenticode簽名時(shí)簽名工具會(huì)先對(duì)PE文件的所有重要部分頭部、節(jié)區(qū)、數(shù)據(jù)目錄等計(jì)算哈希然后對(duì)哈希值簽名。哈希計(jì)算時(shí)會(huì)跳過證書表本身所在的位置和某些會(huì)變化的字段比如校驗(yàn)和否則簽名后文件一動(dòng)校驗(yàn)立刻失敗。1.2 Windows加載器校驗(yàn)簽名的時(shí)機(jī)Windows對(duì)不同類型文件的簽名校驗(yàn)時(shí)機(jī)完全不同用戶態(tài)程序exe普通雙擊運(yùn)行時(shí)Windows加載器默認(rèn)不強(qiáng)制校驗(yàn)簽名。只有系統(tǒng)策略如AppLocker、SmartScreen或第三方安全軟件才會(huì)主動(dòng)查簽名。內(nèi)核驅(qū)動(dòng)sys從Vista x64開始64位系統(tǒng)強(qiáng)制要求內(nèi)核驅(qū)動(dòng)必須簽名加載時(shí)會(huì)校驗(yàn)簽名的有效性、證書鏈?zhǔn)欠袷苄湃?。用戶態(tài)進(jìn)程可以通過WinVerifyTrust等API主動(dòng)校驗(yàn)但系統(tǒng)并不強(qiáng)制。腳本和宏P(guān)owerShell腳本、Office宏雖然不走PE簽名但會(huì)檢查Zone.Identifier文件來源標(biāo)記和簽名狀態(tài)這屬于另一個(gè)層面的策略。所以關(guān)鍵結(jié)論是雙擊桌面上的exe時(shí)操作系統(tǒng)核實(shí)簽名完全是“信任者自覺”的模型。你看到“發(fā)行者某某公司”綠條只是Shell在嘗試調(diào)用WinVerifyTrust檢查了一下證書表并不代表系統(tǒng)認(rèn)為這個(gè)文件安全。1.3 簽名有效和簽名可信是兩件事簽名有效性檢查通常包括三個(gè)步驟文件當(dāng)前哈希值與簽名內(nèi)嵌哈希值是否一致完整性。證書鏈?zhǔn)欠衲茏匪莸绞苄湃胃C書真實(shí)性。證書是否過期、是否被吊銷時(shí)效性?？勺钪旅氖堑谒狞c(diǎn)——證書鏈里的每一個(gè)環(huán)節(jié)是否“可信”。Windows的信任模型默認(rèn)信任本機(jī)“受信任的根證書頒發(fā)機(jī)構(gòu)”存儲(chǔ)區(qū)內(nèi)的所有根證書。如果攻擊者能讓受害者的機(jī)器信任一個(gè)惡意根證書通過惡意軟件、組策略傳播、中間人下發(fā)那么攻擊者自己簽發(fā)的文件在受害者機(jī)器上就會(huì)呈現(xiàn)“簽名有效”的狀態(tài)。注意做一個(gè)自簽名證書、把它裝進(jìn)系統(tǒng)根證書存儲(chǔ)區(qū)然后簽一個(gè)木馬簽名校驗(yàn)一切正常。這種手法在紅隊(duì)行動(dòng)中非常常見很多企業(yè)隔三差五出安全問題源頭就在證書信任鏈的過度擴(kuò)展。2. 那些讓安全軟件和系統(tǒng)“看走眼”的簽名繞過手法我按“從懶到勤”的順序整理了常見的繞過思路。有些幾乎零成本有些需要一定前置條件。核心邏輯都圍繞一點(diǎn)讓“校驗(yàn)者”要么驗(yàn)到錯(cuò)誤的文件要么驗(yàn)到“看起來合法”的文件。2.1 雙文件/附加數(shù)據(jù)利用簽名只覆蓋它想覆蓋的Authenticode簽名在計(jì)算哈希時(shí)有些數(shù)據(jù)并不在保護(hù)范圍內(nèi)。典型的例子是PE文件末尾追加數(shù)據(jù)。Windows加載器對(duì)exe文件尾部多出來的字節(jié)基本是容忍的很多合法的自解壓包、加殼程序都會(huì)在文件末尾附帶附加數(shù)據(jù)。雖然較新的signtool默認(rèn)會(huì)把附加數(shù)據(jù)納入哈希計(jì)算所以老式“直接往文件尾部塞數(shù)據(jù)再改證書表”的辦法多數(shù)失效但實(shí)際項(xiàng)目中仍然存在大量繞過窗口CAB與MSI的內(nèi)嵌載荷MSI文件格式有自己的數(shù)據(jù)流結(jié)構(gòu)數(shù)字簽名是對(duì)整個(gè)MSI文件計(jì)算的。但MSI通過外部cab、自定義動(dòng)作腳本、二進(jìn)制表字段等方式可以在不改變文件字節(jié)的情況下加載執(zhí)行外部代碼或惡意payload。這類問題屬于“簽名覆蓋范圍內(nèi)允許的危險(xiǎn)行為”。多個(gè)PE節(jié)區(qū)的邊界部分老舊或?qū)崿F(xiàn)不嚴(yán)的校驗(yàn)器只掃描映射到內(nèi)存后的前幾個(gè)節(jié)區(qū)忽略位于資源節(jié)或重疊節(jié)區(qū)的代碼。內(nèi)存中執(zhí)行時(shí)攻擊者的shellcode可以從校驗(yàn)器盲區(qū)觸發(fā)。實(shí)操中我們常利用的工具和思路是先找一個(gè)有合法簽名的白文件比如某知名廠商的小工具然后將惡意DLL放入同目錄利用DLL搜索順序劫持讓白文件在運(yùn)行時(shí)加載惡意DLL。這種情況下白文件自身的簽名是有效的惡意DLL沒有簽名卻照樣實(shí)現(xiàn)代碼執(zhí)行。2.2 DLL側(cè)加載與搜索順序劫持簽名文件自己把惡意代碼請(qǐng)進(jìn)門這個(gè)手法在國(guó)內(nèi)外安全圈已經(jīng)成了“標(biāo)配”式繞過路徑。原理非常簡(jiǎn)單Windows加載DLL時(shí)遵循固定的搜索順序應(yīng)用程序目錄、系統(tǒng)目錄、Windows目錄、當(dāng)前目錄、PATH環(huán)境變量。在大多數(shù)標(biāo)準(zhǔn)配置下應(yīng)用程序目錄中的DLL優(yōu)先于系統(tǒng)目錄。攻擊者把惡意的同名DLL放到合法程序身邊合法程序調(diào)用某個(gè)API時(shí)就會(huì)加載這個(gè)惡意的DLL。簽名在這里扮演什么角色合法程序有有效簽名惡意DLL沒有但系統(tǒng)在加載DLL時(shí)通常不校驗(yàn)DLL簽名。只要惡意DLL導(dǎo)出符號(hào)和合法程序期望的符號(hào)匹配白程序就會(huì)毫無戒備地把惡意代碼拉進(jìn)自己的進(jìn)程空間。這類利用的經(jīng)典實(shí)例是把惡意庫(kù)命名為某合法軟件的version.dll或winmm.dll放到軟件主程序同目錄。由于軟件運(yùn)行時(shí)會(huì)從自身目錄查找這些庫(kù)攻擊者只需在釣魚附件里帶上整個(gè)軟件目錄壓縮包受害者解壓運(yùn)行主程序惡意代碼就執(zhí)行了。防御側(cè)真相殺毒軟件對(duì)這種手法有專門的檢測(cè)但很多小型軟件自身就存在DLL搜索順序依賴問題補(bǔ)丁難度不小。對(duì)大廠軟件的側(cè)加載利用幾乎天天在野外出現(xiàn)。2.3 無文件與內(nèi)存加載壓根不經(jīng)過磁盤簽名校驗(yàn)數(shù)字簽名校驗(yàn)的前提是“文件存在于磁盤上且可以通過Certificate Table定位到簽名”。如果惡意代碼只在內(nèi)存中運(yùn)行呢PowerShell加載C#編譯的二進(jìn)制、加載.NET程序集到當(dāng)前進(jìn)程。通過Process Hollowing或RunPE技術(shù)把惡意代碼寫入一個(gè)已經(jīng)啟動(dòng)的合法進(jìn)程的內(nèi)存中進(jìn)行替換執(zhí)行。通過Reflective DLL Injection在內(nèi)存中手動(dòng)映射DLL不調(diào)用LoadLibrary磁盤上從始至終沒有落地的惡意的DLL文件。在這些場(chǎng)景下合法的宿主程序比如notepad.exe或某簽名的代理工具確實(shí)有簽名簽名也有效但被掏空或注入了惡意代碼。簽名校驗(yàn)校驗(yàn)的是宿主的靜態(tài)身份卻對(duì)動(dòng)態(tài)行為無能為力。這也是為什么現(xiàn)在EDR端點(diǎn)檢測(cè)與響應(yīng)越來越強(qiáng)調(diào)行為分析和內(nèi)存掃描因?yàn)椤爸豢碢E頭簽名”的靜態(tài)檢測(cè)在這類攻擊面前幾乎等同裸奔。2.4 濫用合法的簽名工具與LOLBinsLOLBinsLiving Off the Land Binaries and Scripts指的是系統(tǒng)自帶的、有微軟簽名的可執(zhí)行文件或腳本被用來執(zhí)行惡意操作。常見的有rundll32.exe配合惡意DLL導(dǎo)出函數(shù)。mshta.exe解析遠(yuǎn)程HTA腳本。regsvr32.exe加載遠(yuǎn)程COM對(duì)象。wmic.exe執(zhí)行XSL腳本。certutil.exe下載文件或base64解碼老版本。這類攻擊最“氣人”的地方在于發(fā)起攻擊的進(jìn)程是微軟官方簽名的進(jìn)程。安全產(chǎn)品如果直接信任系統(tǒng)進(jìn)程鏈就會(huì)漏掉大量攻擊行為如果嚴(yán)格限制系統(tǒng)進(jìn)程行為又容易把正常業(yè)務(wù)誤傷。紅隊(duì)和黑產(chǎn)都在利用這個(gè)信任盲區(qū)。2.5 證書克隆與簽名移植還有一種更直接的方式找一款同廠商或目標(biāo)信任鏈已簽名、允許加載自定義資源的合法程序把它的簽名證書表整個(gè)提取出來移植到你自己的惡意PE文件上。從理論上講Authenticode簽名包含對(duì)整個(gè)文件哈希的簽名直接移植無法通過完整性校驗(yàn)。但現(xiàn)實(shí)中存在一類“面容相似”的繞過多個(gè)合法文件共用同一哈?；蛲蛔C書表的情況不常見但我們可以找不校驗(yàn)結(jié)果的環(huán)境。利用內(nèi)核驅(qū)動(dòng)的舊簽名漏洞某些開發(fā)者模式下被禁用的測(cè)試簽名可以通過bcdedit開啟測(cè)試模式加載。利用公開證書泄露事件某些公司私有證書泄露后并未及時(shí)吊銷攻擊者直接使用這些證書簽名惡意軟件。簽名移植的另一個(gè)變形是“Timestomp簽名殘留”從合法文件復(fù)制一個(gè)PE頭、證書表到惡意文件讓用戶在資源管理器中看到綠色盾牌標(biāo)。安全軟件一般會(huì)做完整證書鏈校驗(yàn)這種拙劣偽造很快被識(shí)破但依然可以騙過部分終端用戶和輕量級(jí)檢測(cè)工具。3. 校驗(yàn)鏈條上的可利用組件——深入內(nèi)核與驅(qū)動(dòng)簽名內(nèi)核驅(qū)動(dòng)簽名是Windows安全邊界最硬的一層也是最常被攻擊者嘗試?yán)@過的對(duì)象。如果你做免殺或做EDR對(duì)抗驅(qū)動(dòng)這塊是繞不開的。3.1 64位系統(tǒng)的強(qiáng)制驅(qū)動(dòng)簽名Kernel Mode Code SigningWindows Vista x64之后所有內(nèi)核模式驅(qū)動(dòng)程序必須經(jīng)過有效的代碼簽名且簽名證書必須嵌入到驅(qū)動(dòng)文件中或者是微軟認(rèn)可的交叉簽名證書。加載順序啟動(dòng)時(shí)早期啟動(dòng)驅(qū)動(dòng)Boot Start由啟動(dòng)管理器驗(yàn)證簽名并加載非啟動(dòng)驅(qū)動(dòng)在系統(tǒng)運(yùn)行時(shí)通過CI.dll代碼完整性模塊驗(yàn)證。繞過的常見思路有兩種利用測(cè)試簽名模式bcdedit /set testsigning on允許加載測(cè)試簽名的驅(qū)動(dòng)但該模式會(huì)在桌面右下角顯示“測(cè)試模式”水印普通用戶環(huán)境容易被察覺且很多EDR會(huì)直接報(bào)警。利用已知的漏洞驅(qū)動(dòng)BYOVDBring Your Own Vulnerable Driver。找到一個(gè)官方簽名但存在漏洞的舊驅(qū)動(dòng)例如某些硬件調(diào)試工具、主板工具的內(nèi)核驅(qū)動(dòng)利用它的漏洞來關(guān)閉或篡改EDR的內(nèi)核回調(diào)、執(zhí)行任意內(nèi)核代碼。BYOVD是當(dāng)前內(nèi)核對(duì)抗中最實(shí)用的一條路徑因?yàn)槲④泴?duì)舊驅(qū)動(dòng)的吊銷行動(dòng)一直在追但很多舊驅(qū)動(dòng)仍未被完全封禁。防御方可以通過維護(hù)“已知漏洞驅(qū)動(dòng)黑名單”來緩解這已經(jīng)是各大EDR的標(biāo)準(zhǔn)功能。3.2 用戶態(tài)API對(duì)簽名的調(diào)用鏈與可劫持點(diǎn)在用戶態(tài)程序可以通過WinVerifyTrust、CryptCATAdminCalcHashFromFileHandle等API主動(dòng)驗(yàn)證簽名。但攻擊者完全可以在調(diào)用WinVerifyTrust之前通過Detour或Inline Hook掛鉤該API篡改輸入輸出讓校驗(yàn)永遠(yuǎn)“通過”。利用DLL搜索順序劫持把偽造的wintrust.dll或cryptbase.dll注入到校驗(yàn)進(jìn)程整個(gè)證書檢查被替換。直接修改注冊(cè)表策略如禁用SmartScreen讓系統(tǒng)的自動(dòng)信譽(yù)檢查不再運(yùn)行。這些手法看著像是“對(duì)校驗(yàn)工具的對(duì)抗”在惡意軟件分析中我見過不少樣本就是這個(gè)路數(shù)惡意軟件在運(yùn)行前檢測(cè)是否有調(diào)試器或沙箱環(huán)境然后決定是否掛鉤簽名校驗(yàn)函數(shù)。如果它發(fā)現(xiàn)WinVerifyTrust返回失敗直接終止執(zhí)行或進(jìn)入良性分支。實(shí)操心得防御端檢測(cè)這類行為時(shí)需要重點(diǎn)監(jiān)控對(duì)crypt32.dll、wintrust.dll等簽名校驗(yàn)相關(guān)模塊的API Hook行為以及異常的內(nèi)存寫入權(quán)限修改。僅靠靜態(tài)特征在這些樣本面前很難奏效。4. 主動(dòng)規(guī)避方案落地在攻防場(chǎng)景中如何正確“繞”與“防”這一節(jié)我分別從紅隊(duì)攻擊方和藍(lán)隊(duì)防御方視角把方案完整過一遍。無論你是做滲透測(cè)試、應(yīng)急響應(yīng)還是安全產(chǎn)品研發(fā)這套組合思路都有參考價(jià)值。4.1 紅隊(duì)視角合法授權(quán)下如何設(shè)計(jì)簽名規(guī)避鏈路先聲明以下內(nèi)容只在合法授權(quán)如企業(yè)內(nèi)部紅隊(duì)評(píng)估、靶場(chǎng)演練的前提下使用。未經(jīng)授權(quán)搞這類操作違法職責(zé)使然務(wù)必守規(guī)矩。第一步收集目標(biāo)環(huán)境信任的簽名白名單搞清楚目標(biāo)終端上安裝了哪些廠商的軟件比如某內(nèi)網(wǎng)辦公套件、某遠(yuǎn)程控制工具、某殺軟。查看目標(biāo)是否信任某個(gè)內(nèi)部根證書通常企業(yè)會(huì)下發(fā)內(nèi)網(wǎng)CA。確認(rèn)目標(biāo)環(huán)境中“允許運(yùn)行”的策略如AppLocker規(guī)則判斷是默認(rèn)拒絕還是默認(rèn)允許。第二步選擇適合的向目標(biāo)投遞惡意內(nèi)容的載體優(yōu)先選同目錄DLL側(cè)加載找一個(gè)有簽名的exe要求它存在DLL搜索順序問題依賴且倉(cāng)庫(kù)里能讀到源碼或逆向成本低。兼容性優(yōu)先的MSI投遞在MSI包內(nèi)通過CustomAction執(zhí)行PowerShell命令或釋放惡意載荷MSI簽名有效安裝時(shí)以高權(quán)限執(zhí)行。從遠(yuǎn)程加載的腳本路徑HTA、XSL、SCF等腳本格式配合可信關(guān)聯(lián)程序執(zhí)行。第三步構(gòu)造載荷時(shí)盡量保持“靜態(tài)無害”惡意代碼主體使用加密或壓縮運(yùn)行時(shí)再解密避免靜態(tài)特征。以合法方式調(diào)用系統(tǒng)API比如用CreateProcess啟動(dòng)可信程序通過命令行參數(shù)傳遞數(shù)據(jù)讓安全產(chǎn)品看到的行為鏈全是正常告警。做好自刪除和內(nèi)存清理避免磁盤殘留。第四步驗(yàn)證與清理在測(cè)試環(huán)境部署EDR觀察事件日志、進(jìn)程鏈、網(wǎng)絡(luò)連接是否觸發(fā)告警。記錄規(guī)避過程中自定義的指標(biāo)比如簽名校驗(yàn)結(jié)果、可疑行為特征等。測(cè)試結(jié)束后徹底清除測(cè)試載荷和測(cè)試工具避免內(nèi)網(wǎng)環(huán)境被污染。我實(shí)測(cè)比較順的套路是用一個(gè)正宗簽名的白軟件比如某開源工具的無惡意簽名版配合一個(gè)惡意DLL完成加載全程盡量不落地額外exe。這樣安全產(chǎn)品的行為檢測(cè)若不夠強(qiáng)整個(gè)攻擊鏈能全程靜默。4.2 藍(lán)隊(duì)視角縱深防御下如何縮小簽名繞過攻擊面防御方面沒有“銀彈”一切靠的是鏈條上的重疊加厚。第一層簽名策略與控制通過AppLocker或WDACWindows Defender Application Control對(duì)exe、dll、腳本的簽名做強(qiáng)制校驗(yàn)。WDAC可以設(shè)置“僅允許經(jīng)過簽名且受信任的二進(jìn)制運(yùn)行”能大幅壓縮繞過面。定期審核企業(yè)內(nèi)受信任的根證書列表把不需要的根證書清理掉。對(duì)內(nèi)部CA證書做嚴(yán)格管控防止內(nèi)部簽發(fā)的證書被濫用。第二層行為檢測(cè)與威脅狩獵關(guān)注異常進(jìn)程行為如rundll32.exe啟動(dòng)網(wǎng)絡(luò)請(qǐng)求、mshta.exe讀取可疑腳本、regsvr32.exe從下載目錄調(diào)用等。監(jiān)控DLL加載路徑異常特別是合法目錄之外的同名DLL加載、非標(biāo)準(zhǔn)路徑下的version.dll、winmm.dll等。使用Sysmon記錄進(jìn)程創(chuàng)建、模塊加載、文件創(chuàng)建等事件建立基準(zhǔn)后開展異常分析。第三層內(nèi)存與載荷對(duì)抗EDR開啟內(nèi)存掃描檢測(cè)常見注入手法遠(yuǎn)程線程、APC注入、進(jìn)程鏤空和反射加載痕跡。利用內(nèi)核回調(diào)鉤子如ObRegisterCallbacks、PsSetCreateProcessNotifyRoutine捕獲進(jìn)程創(chuàng)建對(duì)可疑進(jìn)程做內(nèi)存轉(zhuǎn)儲(chǔ)和進(jìn)一步分析。定期用YARA規(guī)則匹配公開的惡意DLL、shellcode特征。第四層漏洞驅(qū)動(dòng)治理持續(xù)維護(hù)“已知漏洞驅(qū)動(dòng)”黑名單定時(shí)拉取相關(guān)情報(bào)源的驅(qū)動(dòng)清單。與終端管理聯(lián)動(dòng)禁止已知漏洞驅(qū)動(dòng)的安裝。對(duì)testsigning、debug模式等注冊(cè)表項(xiàng)和啟動(dòng)配置做檢測(cè)發(fā)現(xiàn)即告警。從個(gè)人經(jīng)驗(yàn)看能真正把“簽名繞過”這類風(fēng)險(xiǎn)控住的企業(yè)靠的從來不是某一個(gè)產(chǎn)品而是把簽名白名單、行為檢測(cè)、內(nèi)存掃描三個(gè)環(huán)節(jié)形成閉環(huán)。單靠“有簽名就放行”的策略在紅隊(duì)面前基本是敞開的門。5. 踩坑實(shí)錄與排查技巧這些坑你大概率也會(huì)遇到這部分直接給大家上實(shí)操經(jīng)驗(yàn)都是我在測(cè)試和應(yīng)急中反復(fù)遇到的按“癥狀—原因—解法”羅列出來。5.1 文件確實(shí)有簽名安裝時(shí)卻提示“未知發(fā)布者”這個(gè)現(xiàn)象最常見的兩個(gè)原因簽名用的是自簽名證書而且證書本身沒有安裝到根證書存儲(chǔ)區(qū)系統(tǒng)無法建立信任鏈。解決辦法是把自簽名證書導(dǎo)入到“受信任的根證書頒發(fā)機(jī)構(gòu)”和“受信任的發(fā)布者”存儲(chǔ)區(qū)。簽名時(shí)用了不含時(shí)間戳的舊方式證書已過期。系統(tǒng)對(duì)過期證書不信任但如果有時(shí)間戳則仍然有效。這種情況只能重新簽名并加上時(shí)間戳signtool的/tr參數(shù)。排查時(shí)可以先用signtool verify /v /pa看具體失敗環(huán)節(jié)是證書鏈斷裂、吊銷檢查失敗還是文件哈希不匹配。5.2 殺毒軟件誤報(bào)自己簽名的內(nèi)部工具很多企業(yè)內(nèi)部開發(fā)的小工具被安全軟件攔截因?yàn)闅④浺?guī)則基于“文件信譽(yù)”新簽名、新文件沒有足夠的信譽(yù)累積。不要一上來就懷疑是簽名問題——可能純粹是信譽(yù)不足。我常用的處理思路將內(nèi)部工具統(tǒng)一用企業(yè)簽名證書簽名并在安全控制臺(tái)里加白名單。確保簽名證書帶上完整的證書鏈和有效時(shí)間戳。用WDAC或AppLocker管理內(nèi)部專用工具不用傳統(tǒng)殺軟的白名單反復(fù)審批。5.3 加固了WDAC后大批正常軟件無法啟動(dòng)WDAC的策略一旦開啟且配置過嚴(yán)很多綠色軟件或自解壓程序會(huì)被攔。因?yàn)閃DAC默認(rèn)只信任簽名有效且符合策略的PE未簽名的、或簽名鏈不完整的全被攔截。排查重點(diǎn)檢查事件日志中的CodeIntegrity事件ID 3076/3082定位被攔截的文件路徑和哈希。按需生成“補(bǔ)充策略”Supplemental Policy把信任的軟件編錄加進(jìn)去。先用“審計(jì)模式”運(yùn)行一段時(shí)間觀察攔截列表再轉(zhuǎn)“強(qiáng)制模式”。5.4 提取合法證書表移植到惡意文件后簽名仍然“不通過”前面提過Authenticode校驗(yàn)包含整個(gè)文件哈希單純復(fù)制證書表必失敗。有的教程提到的“簽名移植”能做但絕大多數(shù)都是復(fù)合手法要么配合哈希碰撞成本極高要么只做視覺欺騙要么利用校驗(yàn)工具的盲區(qū)。別太迷信網(wǎng)上流傳的“一鍵簽名移植”工具。實(shí)操中如果你想驗(yàn)證自己的樣本能否“騙過”某個(gè)特定安全產(chǎn)品正確做法是直接在裝有該產(chǎn)品的測(cè)試環(huán)境里觀察而不是依賴證書校驗(yàn)API的結(jié)果——因?yàn)闃颖緦?duì)API做了Hook后直接調(diào)用API驗(yàn)證得到的結(jié)果沒有參考價(jià)值。5.5 分析惡意樣本時(shí)發(fā)現(xiàn)簽名校驗(yàn)函數(shù)被Hook看內(nèi)存加載的DLL列表和鉤子是最快的判斷方式。如果wintrust.dll或ntdll.dll的某些函數(shù)入口被改為JMP指令說明樣本可能篡改了校驗(yàn)結(jié)果。排查要點(diǎn)用Process Hacker或動(dòng)態(tài)調(diào)試器查看模塊列表比對(duì)模塊基址是否異常。檢查crypt32.dll的CryptVerifyCertificateSignature是否被inline hook。在隔離虛擬機(jī)里跑掛上API Monitor觀察Windows API調(diào)用順序。6. 從實(shí)際案例看簽名信任鏈的崩潰過程為了方便理解我構(gòu)造一個(gè)完全虛構(gòu)但邏輯完整的風(fēng)險(xiǎn)場(chǎng)景還原“為什么簽名不等于可信”的全過程。某企業(yè)內(nèi)網(wǎng)部署了某國(guó)內(nèi)知名遠(yuǎn)程控制軟件軟件適配有官方簽名。藍(lán)隊(duì)基于“該軟件是白名單”的假設(shè)允許它在內(nèi)網(wǎng)全量安裝并設(shè)置自動(dòng)更新。某日攻擊者通過釣魚郵件攻破一名普通員工的辦公電腦提取出該遠(yuǎn)程控制軟件同目錄下的一個(gè)空白DLL占位文件逆向確認(rèn)該軟件存在DLL搜索順序劫持點(diǎn)于是把惡意的version.dll替換進(jìn)去利用該軟件的自動(dòng)更新機(jī)制把惡意文件同步到全內(nèi)網(wǎng)多臺(tái)終端。在這條攻擊鏈中遠(yuǎn)程控制軟件本身的簽名是有效的、可信的EDR也看到該軟件在正常更新、正常加載DLL。但惡意DLL通過合法軟件的進(jìn)程空間執(zhí)行了命令控制回連繞過了絕大部分靜態(tài)檢測(cè)。最后通過內(nèi)存查殺、流量檢測(cè)和DLL加載日志交叉關(guān)聯(lián)才發(fā)現(xiàn)端倪。這類案例的核心癥結(jié)不是“簽名無效”而是“簽名有效不代表軟件行為受控”。防御方過度信任了文件來源大廠簽名卻忽視了對(duì)行為鏈的審計(jì)。提示白名單系統(tǒng)里最怕的是白名單自身存在可利用的漏洞或設(shè)計(jì)弱點(diǎn)。在加固策略里對(duì)“白名單軟件”本身也應(yīng)當(dāng)做配置審查和行為約束不能“一簽了之”。7. 一些關(guān)于簽名攻防的真心話干了這么多年安全我對(duì)數(shù)字簽名的態(tài)度越來越“務(wù)虛”——它不是萬能的但也不是無用的。簽名在供應(yīng)鏈完整性、文件來源可追溯、用戶信任建立這些場(chǎng)景里價(jià)值很大但如果把簽名當(dāng)成“運(yùn)行即安全”的免死金牌那防御體系一定會(huì)出大問題。在用簽名作為校驗(yàn)基石時(shí)我個(gè)人一直遵循三條原則信任分層簽名只用來建立“文件來源和完整性”的初步信任不用于終端安全判決。是否放行、是否告警要結(jié)合行為上下文。最小信任鏈在根證書存儲(chǔ)區(qū)和企業(yè)信任鏈上做減法不是越多越好而是越精準(zhǔn)越好。內(nèi)部根證書發(fā)放要嚴(yán)格控制盡量每個(gè)業(yè)務(wù)線一張證書、一個(gè)生命周期。允許失敗所有依賴簽名的策略必須有兜底手段。一旦簽名繞過發(fā)生EDR行為檢測(cè)、威脅狩獵、應(yīng)急響應(yīng)要能接得住而不是等到事后翻日志才發(fā)現(xiàn)。最后分享一個(gè)小技巧你在分析一個(gè)可疑PE時(shí)別只看有沒有簽名也別只看簽名的驗(yàn)證結(jié)果。用signtool verify /v /pa看簽名鏈條的完整吊銷狀態(tài)再用dumpbin /headers看證書表是否異常然后把它放到沙箱里跑一遍觀察它是否嘗試修改注冊(cè)表、注入進(jìn)程、連接外部地址。簽名驗(yàn)證只花幾秒鐘但行為分析才是判定是否惡意的關(guān)鍵。把“簽名等于安全”這個(gè)念頭從腦子里刪掉你的安全認(rèn)知算是真正建立起來了。