Windows内核攻防—利用RTCore64驱动绕过Windows签名校验好久没有发过文章了，难得今天有空，顺手发表记录一下最近的学习。众所周知，Windows加载驱动会验证驱动是否有微软的签名，这也就是是所谓的DSE机制。每次我们开机的时候，Windows内核都会加载 CI.dll 中的一个全局变量 g_CiOptions 来判定是否开启DSE机制。那么整体攻击思路就很简单了，借助 BYOVD 进入到内核去修改 g_CiOptions 的值，关闭DSE，从而能够加载我们自己手写的驱动，这也是以前较为流行的攻击手法。