Я могу изменить подписанный исполняемый файл

Question

Я попытался загрузить подписанный исполняемый файл (http://live.sysinternals.com/procexp.exe) и изменить его. Я думал, что это невозможно, и Windows каким-то образом помешает мне запустить его (или предупредить меня хотя бы). Но когда я изменяю один символ (например, в заглушке DOS или любых других текстовых данных), он все еще работает.

Перед изменением, когда я запустил это приложение, он всплеск предупреждения UAC показывает, что он подписал Microsoft и спрашивает, хочу ли я его запустить. После модификации такой вещи нет. Даже когда я вернусь к изменениям, он все равно не появится. Я сравнил модифицированный и восстановленный исполняемый файл с оригиналом (в общем командире), и он не показывает разницы. Но оригинал все еще брызгает UAC.

Почему?

Я использую Windows 7 и Firefox.

Answer 1

Я никогда не пытался это сделать. Но когда вы редактировали файл, вы аннулировали цифровую подпись, вы должны увидеть ее в свойствах файла.

Windows обычно не проверяет цифровые подписи. Цифровые подписи вступают в игру, когда файл помечен как загруженный из Интернета (если подпись действительна, Windows покажет ее издателю в диалоговом окне подтверждения, в противном случае издатель будет неизвестен) и UAC (в этом случае цифровой подпись также подтверждает, что файл поступает от издателя, хранящегося как часть цифровой подписи).

Не показывать или не показывать подтверждение UAC с цифровой подписью, оно контролируется манифестом приложения.

Итак, в моем понимании, должен отображаться диалог UAC. Но так как модифицированный файл не выполняет проверку цифровой подписи, Windows может решить, что файл небезопасен для повышения. Вы можете искать сообщения в журнале событий Windows, могут быть события, объясняющие поведение, которое вы видите.

Answer 2

Я скопировал chrome.exe в другой каталог и начал писать случайные байты в приложении.

Я проверял свойства, там была цифровая подпись. Я изменил приложение. Он не смог выполнить (давая некоторый король внутренней ошибки, а не ошибку окна), но все еще показывающий действительный сертификат в свойствах. Странно.

Я думаю, что окна проверяют сертификат приложения только один раз.

Answer 3

После того, как вы измените файл, он все равно будет показывать цифровую подпись, но если вы нажмете на кнопку Details для этой подписи, я думаю, вы обнаружите, что она говорит, что подпись недопустима. Когда я изменил его обратно на то, что он изначально содержал, он еще раз сказал мне, что подпись действительна. (Но вы должны использовать редактор, который редактирует байты на месте, - не тот, который может добавить разрыв строки или что-то непреднамеренно.)