CAT文件数字签名使用技巧

0x00 前言


Windows系统中的重要文件常常会被添加数字签名,用来防止被篡改,部分白名单规则的判定也会基于数字签名。

本文作为数字签名研究系列文章的基础内容,介绍两种数字签名的添加方法,分析CAT文件数字签名的特点,并且纠正一名读者对我文章的回复,地址如下:

《利用xwizard.exe加载dll》

基于我的测试,个人认为:移动位置后,CAT文件数字签名不会失效

0x01 简介


本文将要介绍以下内容:

  • 生成证书的方法
  • 将数字签名添加在文件末尾的方法(Authenticode)
  • 将数字签名保存在CAT文件中的方法(catalog)
  • 使用CAT数字签名的文件特点

0x02 将数字签名添加在文件末尾的方法(Authenticode)


曾在隐写技巧的系列文章中研究过在数字签名中隐藏payload的方法,地址如下:

《隐写技巧——在PE文件的数字证书中隐藏Payload》

文中介绍过证书格式,在此不再赘述

向文件尾部添加数字签名后,可通过文件属性查看

实例:

C:\Windows\System32\consent.exe

自带微软数字签名,如下图

Alt text

可通过powershell验证数字签名:

Get-AuthenticodeSignature .\mimikatz.exe

也可以使用工具通过命令行查看数字签名

使用signtool.exe查看:

signtool.exe verify /v C:\Windows\System32\consent.exe

如下图

Alt text

使用sigcheck.exe查看:

sigcheck.exe -q C:\Windows\System32\consent.exe /accepteula

如下图

Alt text

注:

signtool.exe:

可用于查看文件的数字签名

安装Visual Studio后包含SDK,其中可找到signtool.exe,位于C:\Program Files\Microsoft SDKs\Windows\

进入开发人员工具的cmd可直接调用signtool.exe

Windows 7 SDK下载地址:

https://www.microsoft.com/en-us/download/details.aspx?id=8279

sigcheck.exe:

可用于查看文件的数字签名

下载地址:

https://docs.microsoft.com/zh-cn/sysinternals/downloads/sigcheck

本文相关文件已上传至github,地址如下:

https://github.com/3gstudent/signtools

生成测试证书的命令如下:

makecert -n "CN=Microsoft Windows Test" -r -sv Root.pvk Root.cer
cert2spc Root.cer Root.spc
pvk2pfx -pvk Root.pvk -pi 123456 -spc Root.spc -pfx Root.pfx -f

证书注册:

(管理员权限)

certmgr.exe -add -c Root.cer -s -r localmachine root

注:

细节可参考之前的文章《A dirty way of tricking users to bypass UAC》

签名mimikatz.exe:

signtool sign /f Root.pfx /p 123456 mimikatz.exe

显示数字签名正常,如下图

Alt text

0x03 将数字签名保存在CAT文件中的方法(catalog)


Windows系统中,有些文件通过文件属性无法获得其数字签名信息,但是这些文件也包含数字签名,这里的数字签名指的就是CAT(安全编录)文件数字签名(catalog signing)

资料可参考:

https://docs.microsoft.com/en-us/windows-hardware/drivers/install/catalog-files

签名流程的直观理解:

  • 将文件作sha1加密后得到的hash值保存在CAT文件中(一个CAT文件可保存多个文件hash)
  • 对该CAT文件添加数字签名
  • 将CAT文件添加到系统的安全编录数据库
  • 这些文件也就有了数字签名

实例:

C:\Windows\System32\catroot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ntph.cat

属性-安全目录-项目详细信息-File,可以找到Hash值对应的文件

如下图

Alt text

通过文件属性无法查看CAT数字签名

.cat文件保存格式为ASN.1标准,直接通过记事本无法查看,需要解密,在线网址如下:

https://lapo.it/asn1js/

选择cat文件后即可解密显示完整格式

格式解析可参考:

https://support.microsoft.com/en-us/help/287547/object-ids-associated-with-microsoft-cryptography

实例:

C:\Windows\System32\xwizard.exe

自带CAT格式的数字签名,通过文件属性无法查看CAT数字签名

使用powershell无法获得CAT文件数字签名:

Get-AuthenticodeSignature C:\Windows\System32\xwizard.exe

如下图

Alt text

注:

Win10系统能够获取CAT文件数字签名,Win7不可以

但可以使用signtool.exe和sigcheck.exe查看数字签名

使用signtool.exe查看:

signtool.exe verify /pa /a /v C:\Windows\System32\xwizard.exe

如下图

Alt text

使用sigcheck.exe查看:

sigcheck.exe -q C:\Windows\System32\xwizard.exe /accepteula

如下图

Alt text

下面介绍如何使用CAT文件数字签名

1、生成CAT文件

新建文本文档cat.txt,内容如下:

[CatalogHeader]
Name=makecat1.cat
[CatalogFiles]
<hash>ExeFile1=mimikatz.exe

注:

txt文件尾部需要一个空行,否则,在接下来的操作会报错,提示文件无法找到

如下图

Alt text

使用makecat.exe生成cat文件:

makecat -v cat.txt

2、使用证书为CAT文件添加签名

signtool sign /f Root.pfx /p 123456 makecat1.cat

注:

这里的证书使用的是0x02中生成的证书Root.pfx

3、将cat文件添加到系统的安全编录数据库

(管理员权限)

signtool catdb -v makecat1.cat

注:

删除使用 -r参数:signtool catdb -r makecat1.cat

如果未添加到系统的安全编录数据库,签名状态为unsigned,如下图

Alt text

添加到系统的安全编录数据库相当于在目录C:\Windows\System32\catroot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}添加文件makecat1.cat

删除等价于删除目录C:\Windows\System32\catroot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}下对应的CAT文件makecat1.cat

使用signtool.exe获取数字签名:

signtool.exe verify /pa /a mimikatz.exe

使用sigcheck.exe获取数字签名:

sigcheck.exe -q mimikatz.exe /accepteula

移动位置后,签名仍然有效

如下图

Alt text

验证结论:移动位置后,CAT文件数字签名不会失效

当然,利用带有CAT文件数字签名的xwizard.exe加载dll,在某种程度上说,能够绕过应用程序白名单的拦截。

0x04 小结


本文介绍了两种数字签名的添加方法,分析CAT文件数字签名的特点,对于可执行文件,通过Process Explorer可验证两种不同的数字签名

如下图

Alt text


LEAVE A REPLY

Written on October 8, 2017