从可执行文件读取并验证证书

Question

我想验证签名的可执行映像的证书（通过验证，我的意思是判断签名是否来自 MS/Adobe/Oracle 等）。 Windows 是否提供了此任务的 api？我该怎么办，不知道。任何帮助将不胜感激。 我正在使用 Windows 和 C++。我想验证本机可执行映像，而不是 .NET 程序集或 Java jar 文件。

更新

---

好的，我会尽快描述我想要的内容。

1) 验证PE证书。签名是否有效。当签名嵌入到 PE 中并且签名位于安全目录中时，它应该可以工作。 （我在 sysinternals 论坛上找到了这个，并且工作正常，所以我不再需要这个了）。

2) 告诉谁是文件的签名者/发布者。我知道它可以通过 CryptQueryObject 来实现（我找到了一个工作示例，尽管它不适用于安全目录），但不知道如何将它与安全目录文件一起使用。

Answer 1

有许多 API 和方法可以帮助您获取和验证可执行文件的签名，以及如何获取您需要的其他附加信息。问题在于您选择哪个级别（例如 WinVerifyTrust 等高级级别）

可用于从 CAT 或 EXE 文件获取加密上下文的最简单的第一个 API 是 CryptQueryObject 函数。 中的代码示例KB323809 可以让您了解如何解码您需要的信息。如果您使用 CAT 文件，主要区别在于您应该修改 CryptQueryObject。我建议您只使用 CERT_QUERY_CONTENT_FLAG_ALL 和 CERT_QUERY_FORMAT_FLAG_ALL 和 CryptQueryObject 将在内部完成您需要的所有操作：

BOOL bIsSuccess;
DWORD dwEncoding, dwContentType, dwFormatType;
HCERTSTORE hStore = NULL;
HCRYPTMSG hMsg = NULL;
PVOID pvContext = NULL;

// fill szFileName
...

// Get message handle and store handle from the signed file.
bIsSuccess = CryptQueryObject (CERT_QUERY_OBJECT_FILE,
                               szFileName,
                               CERT_QUERY_CONTENT_FLAG_ALL,
                               CERT_QUERY_FORMAT_FLAG_ALL,
                               0,
                               &dwEncoding,
                               &dwContentType,
                               &dwFormatType,
                               &hStore,
                               &hMsg,
                               &pvContext);

值 dwContentType由CryptQueryObject设置将获得有关文件szFileName类型的基本信息。对于您需要的大多数情况，pvContext 将为 PCCERT_CONTEXT，但如果满足以下条件，它也可以是 PCCRL_CONTEXT 或 PCCTL_CONTEXT您使用 .ctl 或 .crl 文件作为输入。您将收到 hStore，其中包含文件 szFileName 中的所有证书。因此，就 pvContext 和 hStore 而言，您可以使用 CryptoAPI 检查包含的文件。如果你更喜欢
低级按摩 API，您可以使用 hMsg ，在某些 dwContentType 的情况下将另外设置（至少对于 CERT_QUERY_CONTENT_PKCS7_SIGNED、 CERT_QUERY_CONTENT_PKCS7_UNSIGNED， CERT_QUERY_CONTENT_PKCS7_SIGNED_EMBED）。

要验证文件的签名，我建议您使用 CertGetCertificateChain 和 CertVerifyCertificateChainPolicy 不仅验证证书是一般有效，但它（或其所有父项）对于authenticode (szOID_PKIX_KP_CODE_SIGNING) 有效。 CertGetCertificateChain 可用于不同的吊销场景。您应该使用 CERT_CHAIN_POLICY_AUTHENTICODE 和 CERT_CHAIN_POLICY_AUTHENTICODE_TS 进行两次单独的调用，以验证 Authenticode 链策略和 Authenticode 时间戳链策略是否有效。

已更新：我重读了您当前的问题（已更新部分）。您当前的问题是如何获取文件的签名者/发布者。所以我只回答问题。

如果您使用来自 sysinternal 的代码对于签名验证，您应该只搜索行

if ( !CryptCATCatalogInfoFromContext(CatalogContext, &InfoStruct, 0) )

The statements sill set the fields of the InfoStruct 以防该文件是系统 Windows 文件，其签名针对某些 .cat 进行验证 文件。字段 InfoStruct.wszCatalogFile 将得到您输入 .cat 文件的名称。

例如，在我的 Windows 7 上，如果我尝试验证 C:\Windows\explorer.exe 文件的数字签名，则可以找到其哈希值的 .cat 是C:\Windows\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\Package_1_for_KB2515325~31bf3856ad364e35~amd64~~6.1.1.0.cat。

如果您要使用 KB323809 使用上述 CryptQueryObject 参数，您将解码 SPC_SP_OPUS_INFO_OBJID （“1.3.6.1.4.1.311.2.1.12”）属性C:\Windows\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\Package_1_for_KB2515325~31bf3856ad364e35~amd64~~6.1.1.0.cat（参见函数GetProgAndPublisherInfo），您就会知道

pwszProgramName: "Windows Express Security Catalogs"
pPublisherInfo: NULL
pMoreInfo->dwLinkChoice: SPC_URL_LINK_CHOICE
pMoreInfo->pwszUrl "http://www.microsoft.com"

因此该文件不包含特殊的发布者信息。如果您检查目录的签名者，您会发现：

The signer of the .cat file: "Microsoft Windows"
The signer signed it with the certificate:
    Serial Number: 0x6115230F00000000000A
    Issuer Name: Microsoft Windows Verification PCA
    Full Issuer Name:
        CN = Microsoft Windows Verification PCA
        O = Microsoft Corporation
        L = Redmond
        S = Washington
        C = US
    Subject Name: Microsoft Windows
    Full Subject Name:
        CN = Microsoft Windows
        OU = MOPR
        O = Microsoft Corporation
        L = Redmond
        S = Washington
        C = US
The Date of TimeStamp : 28.02.2011 21:16:36
TimeStamp Certificate: 
    Serial Number: 0x6103DCF600000000000C
    Issuer Name: Microsoft Time-Stamp PCA
    Subject Name: Microsoft Time-Stamp Service

因此您应该仅使用 .cat 文件的签名者，因为 explorer.exe 没有其他签名者。

Answer 2

WinVerifyTrust 函数执行信任验证操作一个指定的对象。该函数将查询传递给支持操作标识符的信任提供者（如果存在）。

对于证书验证，请使用 CertGetCertificateChain 和 CertVerifyCertificateChainPolicy 函数。

Answer 3

@达维塔
我仔细阅读了上面的问题并尝试解决它。

我的建议是在 CryptQueryObject() 的第三个参数中尝试使用 CERT_QUERY_CONTENT_FLAG_PKCS7_SIGNED 而不是 CERT_QUERY_CONTENT_FLAG_ALL