Unsigned drivers onder Vista SP1 - TCPIP.SYS patchen

[Verwijderd]

Unsigned drivers willen nog welles wat problemen geven de laatste tijd omdat Vista SP1 (32/64) ze niet meer accepteerd. Tijdens het opstarten krijg je dan een melding dat Windows niet op kan starten

nou zag ik op half-open.com een patcher voor tcpip.sys staan (waarmee je dus meer dan 10 'half open' poortjes kan gebruiken, wat nogal belangrijk is voor BitTorrent/ P2P en overige server zaken)


Dus ik kijk ff goed, naar wat het ding precies doet... (met sysinternals procmon) en daar komt uit:

code:

%systemroot%\System32\bcdedit.exe" /set TESTSIGNING ON

certmgr.exe -del -all -s -r currentuser "mycerts"

certmgr.exe -del -c -n "www.half-open.com" -s -r localmachine root

makecert.exe -$ individual -r -pe -ss "mycerts" -n CN="www.half-open.com" "test.cer"

certmgr.exe /add "test.cer" /s /r localMachine root

signtool.exe sign /v /s "mycerts" /a "www.half-open.com" "%systemroot%\system32\drivers\tcpip.sys"

signtool.exe verify /pa /v "%systemroot%\system32\drivers\tcpip.sys"

(Dit alles.. nadat 1 byte in tcpip.sys is aangepast.)

Voor diegene die niet zien wat er precies gedaan word:
Er word een nieuw certificaat aangemaakt voor Windows wat in de certificate store onder "Thrusted Root Certificate Authorities" word geplaatst. Hier word het tcpip.sys bestand vervolgens ook mee gesigned, zodat Windows de driver wel laad.


Wat is nu je punt?

Nou, als dit met TCPIP.sys werkt, zal het ook wel met unsigned (oudere) drivers werken. Mocht je geen signed driver ergens voor kunnen vinden is dit mischien een (tijdelijke) oplossing.


Ik wil dit zelf in een unattended Vista installatie image gebruiken, vandaar dat ik niet het programmatje gebruik.

De tools die hierboven gebruikt worden zitten bij het tooltje van half-open.com, maar komen volgens mij uit 1 of andere SDK van MS. Ik heb nu een batchfile geschreven die in principe (met dus die tools + md5sums.exe +hexalter.exe) het half-open programmatje vervangt.


(VOLGENDE CODE IS NOG NIET AF, NIET GEBRUIKEN, MD5 KLOPT OOK NIET, NIET GEBRUIKEN)

code:

@echo off
FOR /F "tokens=*" %%R IN ('md5sums -u c:\windows\system32\drivers\tcpip.sys') DO SET curver=%%R
set ver18000=48a5b7570b9a866208ae217acdb72b26 *tcpip.sys
IF "%curver%" == "%ver18000%" (GOTO gotmatch) ELSE GOTO nomatch
:gotmatch
echo MD5 matches
echo Patching TCPIP.SYS
hexalter.exe tcpip.sys 0x0004C65D=255
%systemroot%\System32\bcdedit.exe" /set TESTSIGNING ON
certmgr.exe -del -all -s -r currentuser "mycerts"
certmgr.exe -del -c -n "www.half-open.com" -s -r localmachine root
makecert.exe -$ individual -r -pe -ss "mycerts" -n CN="www.half-open.com" "test.cer"
certmgr.exe /add "test.cer" /s /r localMachine root
signtool.exe sign /v /s "mycerts" /a "www.half-open.com" "%systemroot%\system32\drivers\tcpip.sys"
signtool.exe verify /pa /v "%systemroot%\system32\drivers\tcpip.sys"
GOTO end
:nomatch
echo no match
GOTO end
:end
echo exit

Als dit batch filetje zo nu en dan word geupdate is het een leuk alternatief voor half-open tooltje wat geen checksum/hash check doet.

Mijn vragen zijn,

1. Is het echt nodig dat TESTSIGNING word gebruikt (als niemand het weet kan ik dit wel een keer met vmware testen)

2. Zitten er fouten in de totale werking, kan dat 'nep' Root Authority certificaat de deur open zetten voor exploits?

[Verwijderd]

Aangepast script, werkt OK (voor Vista SP1, en hoger)

code:

FOR /F "tokens=*" %%R IN ('md5sums -u %systemroot%\system32\drivers\tcpip.sys') DO SET curver=%%R
set ver18000=82e266bee5f0167e41c6ecfdd2a79c02 *tcpip.sys
IF "%curver%" == "%ver18000%" (GOTO gotmatch) ELSE GOTO nomatch

:gotmatch
echo MD5 matches
echo Patching TCPIP.SYS
pause
copy %systemroot%\system32\drivers\tcpip.sys %systemroot%\system32\drivers\tcpipbackup.new
takeown /f %systemroot%\System32\drivers\tcpip.sys
icacls %systemroot%\system32\drivers\tcpip.sys /grant Administrator:F
hexalter.exe tcpip.sys 0x0004C65D=255
%systemroot%\System32\bcdedit.exe" /set TESTSIGNING ON
certmgr.exe -del -all -s -r currentuser "mycerts"
certmgr.exe -del -c -n "www.half-open.com" -s -r localmachine root
makecert.exe -$ individual -r -pe -ss "mycerts" -n CN="www.half-open.com" "test.cer"
certmgr.exe /add "test.cer" /s /r localMachine root
signtool.exe sign /v /s "mycerts" /a /n "www.half-open.com" "%systemroot%\system32\drivers\tcpip.sys"
signtool.exe verify /pa /v "%systemroot%\system32\drivers\tcpip.sys"
GOTO end

:nomatch
echo no match, is tcpip.sys already patched?
GOTO end

:end
echo exit

^^ Is redelijk getest, maar je bent en blijft zelf verantwoordelijk als er iets fout gaat ^^

[alt-92]

Verwijderd schreef op vrijdag 03 oktober 2008 @ 15:55:
Mijn vragen zijn,

1. Is het echt nodig dat TESTSIGNING wordt gebruikt (als niemand het weet kan ik dit wel een keer met vmware testen)

Die testsigning switch is voor driver ontwikkelaars bedoeld.

2. Zitten er fouten in de totale werking, kan dat 'nep' Root Authority certificaat de deur open zetten voor exploits?

Uiteraard.
Als ik een signed binary met malware eigenschappen verwerk in een legitieme setup is deze nu ook als een signed driver/dll te gebruiken.

Onder andere daarom is die hele signing ook ingevoerd (naast dat het driverontwikkelaars dwingt om nette drivers te maken om ze uberhaupt gesigned te krijgen).

Technet Spotlight - Advanced Malware Cleaning

[ Voor 7% gewijzigd door alt-92 op 04-10-2008 13:36 ]