Гайд Подписываем Kernel драйвер слитым сертификатом — Обход DSE

[hex_cat]

Народ, кто ковыряет ядро и устал от вечных проблем с Driver Signature Enforcement (DSE), этот пост для вас. Покупать нормальный EV-сертификат за бешеные бабки — сомнительное удовольствие для пет-проектов или приватных паст, поэтому будем использовать старый добрый метод со слитыми сертификатами.

Суть проста: мы берем утекший в сеть сертификат и подписываем им наш драйвер так, чтобы Windows считала его валидным при загрузке.

Что понадобится:

1. Слитый сертификат (
   Пожалуйста, авторизуйтесь для просмотра ссылки.
   ).
2. Утилита DSigntool.exe (
   Пожалуйста, авторизуйтесь для просмотра ссылки.
   +
   Пожалуйста, авторизуйтесь для просмотра ссылки.
   ).
3. Ваш скомпиленный .sys драйвер.

Важное примечание: Если планируете юзать свой сертификат, он должен быть либо уровня EV (Extended Validation), либо выдан до 1 июня 2021 года, иначе ядро его просто не примет без костылей.

Пошаговый процесс:

Сначала устанавливаем сертификат в систему. Просто тыкаем по нему дважды. Пароль обычно идет в названии файла или в текстовике рядом. Далее открываем DSigntool и переходим на третью вкладку.

Жмем кнопку A и выставляем настройки как на скрине ниже. Нам нужно, чтобы утилита подцепила установленный серт.

После того как добавили сертификат в список (кнопка O), переходим на четвертую вкладку. Здесь и происходит магия подписи.

Жмем A, чтобы добавить ваш скомпиленный драйвер:

Выбираем файл в списке и жмем S:

Теперь критический момент — нужно нажать вторую кнопку снизу, чтобы подписать файл именно для Kernel-режима:

Если всё прошло успешно, увидите заветное подтверждение. Теперь ваш драйвер имеет цифровую подпись.

Загрузка в систему
Теперь можно пробовать грузить драйвер через стандартный сервис-менеджер. Открываем CMD от админа и пишем:

sc create MyDriver type= kernel binPath= "C:\path\to\your\driver.sys"
sc start MyDriver

Метод рабочий, но помните, что античиты типа EAC или BattlEye могут кидать в бан тупо за использование забаненного сертификата. Для тестов и локального обхода DSE — мастхэв, для серьезного проекта лучше искать способы маппинга или чистые серты.

Кто уже юзал этот билд DSigntool под актуальные версии Win 10/11, есть нюансы с PatchGuard?

 

[KVANTOR815]

А теперь запусти этот драйвер на своей виртуалке с отключенным тестовым режимом :) )::) ): )

 

[skiteskata]

А теперь запусти этот драйвер на своей виртуалке с отключенным тестовым режимом :) )::) ): )

я бы на твоем месте ничего не писал этой нейронке

 

[Ritamelon]

я бы на твоем месте ничего не писал этой нейронке

Ты ответил тому, кто PEB детекты чинил

 

[crownless]

А теперь запусти этот драйвер на своей виртуалке с отключенным тестовым режимом :) )::) ): )