高端定制手机网站,南充阆中网站建设,自己买服务器搭建网站,怎么做邮箱网站原因
当Windows操作系统遇到严重错误导致系统崩溃时#xff0c;屏幕显示为蓝色#xff0c;通常伴有错误代码和信息#xff0c;这被称为“蓝屏死机”#xff08;Blue Screen of Death#xff0c;简称BSOD#xff09;
https://www.thepaper.cn/newsDetail_forward_281262…原因
当Windows操作系统遇到严重错误导致系统崩溃时屏幕显示为蓝色通常伴有错误代码和信息这被称为“蓝屏死机”Blue Screen of Death简称BSOD
https://www.thepaper.cn/newsDetail_forward_28126297 这次蓝屏事件影响非常广泛主要原因是CrowdStrike 的内核驱动升级导致的CrowdStrike是国外广泛使用的一个安全防护软件厂商类似于国内的毒霸 360之类。
Microsoft says 8.5M systems hit by CrowdStrike BSOD, releases USB recovery tool When reboots dont work, bootable USB sticks may help ease fixes for some PCs.
微软为此发布了一个修复说明核心意思是说你用一个PE工具进入系统然后把CrowdStrike 的内核驱动 C-00000291*.sys删掉然后就可以了。
https://support.microsoft.com/en-us/topic/kb5042421-crowdstrike-issue-impacting-windows-endpoints-causing-an-0x50-or-0x7e-error-message-on-a-blue-screen-b1c700e0-7317-4e95-aeee-5d67dd35b92f
什么是sys文件
.sys格式的文件实际上是window 的内核驱动文件做软件开发的工程师多少都会有些了解。内核驱动直接访问了操作系统的底层资源如果这个文件有bug系统很容易蓝屏且无法恢复因为重启的时候它又会自动加载。
先来看看.sys在widnows操作系统所处的层级非常的low level 什么设备需要内核驱动
需要操作系统内核资源的任务或者设备本质上都可以写一个内核驱动来调用内核资源。通常windows的外设比如显卡、USB设备、自研PCIe设备、串口设备 都需要对应的内核驱动去实现与硬件的交互尤其是pcie 设备只有用内核驱动代码才能访问对应资源从而驱动外设。
内核驱动安全策略
强制数字签名。
数字签名在Windows操作系统中扮演着重要角色尤其是为了增强系统稳定性和安全性。数字签名是一种加密技术用于验证软件的来源和完整性。在Windows环境下数字签名用于确保驱动程序和其他软件来自可信赖的发布者并且自发布以来未被篡改。
以下是数字签名在Windows系统中的几个关键作用
验证来源数字签名可以确认软件是由已知和信任的开发人员或公司创建的这有助于防止恶意软件和病毒的传播。确保完整性签名过程使用公钥加密技术来创建一个唯一的数字指纹如果软件在传输过程中或安装后被修改数字签名将不再匹配提示用户软件可能已被篡改。提升系统稳定性Windows强制要求所有内核模式驱动程序都有数字签名这是为了确保这些驱动程序遵循Microsoft的操作系统编程规范从而减少由驱动程序引发的蓝屏事件。驱动程序认证在Windows Vista及更高版本中操作系统默认启用了驱动程序签名强制执行即所有加载到内核的驱动程序必须带有有效的数字签名。这有助于防止不兼容或恶意的驱动程序加载从而减少系统崩溃的风险。
数字签名
Windows设备安装利用数字签名来验证驱动程序包的完整性和确认提供驱动程序包的供应商软件发布者的身份。此外64位版本的Windows Vista及其后续Windows版本的内核模式代码签名策略规定内核模式驱动程序必须经过签名才能加载。
Windows 10桌面版家庭版、专业版、企业版和教育版以及Windows Server 2016的内核模式驱动程序必须由Windows硬件开发者中心Windows Hardware Quality Labs (WHQL)进行签名这要求具备扩展验证EV证书。详情请参阅驱动程序签名策略。
所有为Windows 10从版本1507Threshold 1开始由硬件开发者中心签名的驱动程序都是使用SHA2算法签名的。有关特定操作系统版本的详细签名要求请参阅按版本划分的签名要求。
在WIN10之前用户的内核驱动只要有EV证书签名就可以被操作系统认可但是实际上这个策略非常不安全因为EV证书签名很容易获取即使不是出于非法目的随意的内核驱动EV签名也可能频繁导致系统BSOD故障或者卡死因为驱动开发人员不能保证它的测试项覆盖了所有必要的情况。
如何或得签名
https://learn.microsoft.com/en-us/windows-hardware/drivers/dashboard/get-started-dashboard-submissions
首先你得有一个EV证书这个需要到第三方授权机构 购买你没办法自己凭空生成一个被认可的证书对你的内核驱动进行签名。到微软 注册账号需要为驱动代码进行测试微软有一套通用测试列表在win10之前 叫HCK https://learn.microsoft.com/en-us/windows/win32/w8cookbook/windows-hardware-certification-kit win10之后叫HLK https://learn.microsoft.com/en-us/windows-hardware/test/hlk/通过测试后打包上传 等待微软签名
我们看一下经过认证的驱动签名是什么样子的。 后续会记录如何为驱动进行测试和签名。
为什么CrowdStrike 做了认证还会死机
这大概率是CrowdStrike 钻了微软的空子因为数字签名的测试步骤非常繁琐做1个测试至少要1天的时间并且微软签名并不检查当前驱动打包文件的日期只要你曾经做过一次成功的测试保留了日志文件那么理论上你可以跳过测试让微软签名。
这大概率会导致出现问题。当前市面上有些中介机构号称可以做WHQL认证实际上也是这个策略它根本不会给你做测试只是偷偷把你的驱动打包到已经做了测试的文件中然后签名没有任何成本。
