概述

EfiGuard是一个便携式x64 UEFI引导程序，它在启动时修补Windows引导管理器、引导加载程序和内核，以禁用PatchGuard和驱动程序签名强制执行（DSE）。

如果你只是想尝试EfiGuard，请跳转到使用方法。

特性

• 目前支持所有发布的EFI兼容的Windows x64版本，从Vista SP1到Windows 11。

• 使用简单：可以从USB设备或Windows EFI分区通过自动查找并启动Windows的加载程序启动。也可以使用UEFI shell或加载程序手动加载和配置驱动程序。

• 广泛使用Zydis反汇编库进行快速运行时指令解码，支持比签名匹配更强大的分析，后者通常需要随新操作系统更新而变化。

• 被动工作：驱动程序不加载或启动Windows引导管理器。相反，它会响应固件引导管理器通过引导选择菜单或EFI应用程序（如加载程序）加载bootmgfw.efi的操作。如果启动非Windows操作系统，驱动程序将自动卸载。

• 支持四阶段修补，适用于bootmgfw.efi启动bootmgr.efi而不是winload.efi的情况。这在加载WIM文件以启动WinPE、Windows安装程序或Windows恢复模式时会发生。

• 优雅恢复：如果修补失败，驱动程序将显示错误信息，并提示继续启动或按ESC键重启。这甚至在最后的内核修补阶段也适用，因为最后的修补阶段发生在调用ExitBootServices之前。许多UEFI Windows引导程序通过模式匹配钩取OslArchTransferToKernel函数，虽然容易找到，但该函数在ExitBootServices之后在保护模式下执行。这意味着没有可用的引导服务来告知用户出现了问题。

  模拟修补失败并显示错误信息

• 可调试：可以在内核修补阶段向内核调试器和屏幕输出消息（尽管有缓冲），在引导管理器和引导加载程序修补阶段向串行端口或无缓冲地向屏幕输出。如果驱动程序编译时包含PDB调试信息，可以在HAL初始化后的任何时点通过指定虚拟DXE驱动程序基址来加载调试符号，并像调试常规NT驱动程序一样进行调试。

• DSE绕过：可选择直接使用类似UPGDSED的方式在启动时禁用DSE，或者钩取SetVariable() EFI运行时服务。后者作为一个任意内核模式读/写后门，可以从Windows使用NtSetSystemEnvironmentValueEx调用，允许将g_CiEnabled/g_CiOptions设置为所需值。提供了一个名为EfiDSEFix.exe的小型DSEFix风格应用程序可用于执行此操作。也可以保持DSE启用而只禁用PatchGuard。加载程序默认使用SetVariable钩子方法，因为一些反作弊和防病毒程序不理解作弊或恶意软件与自签名驱动程序的区别，而是针对UPGDSED修复。

• 通过在每个阶段修补ImgpValidateImageHash和ImgpFilterValidationFailure来支持磁盘上修改的内核和引导加载程序，后者可能会悄悄地向TPM或SI日志文件报告某些类型的违规。

• 允许Windows 7使用安全启动（不是玩笑！）。Windows 7本身对安全启动一无所知，因为它不支持安全启动，甚至（<a href="https://msdn.microsoft.com/en-us/ie/dn938339(v=vs.60)">官方</a>）不支持无CSM启动。这对于想在要求WHQL安全启动的锁定设备上使用Windows 7的人很有用。关于如何实现这一点的Wiki条目在这里。

  启用安全启动的Windows 7上运行的WinObjEx64

问题和限制

• EfiGuard无法禁用Hypervisor强制代码完整性（HVCI或HyperGuard），因为HVCI运行在更高的权限级别。EfiGuard可以与HVCI共存，甚至成功地在普通内核中禁用PatchGuard，但这在实践中并无用处，因为HVCI会捕获PatchGuard之前捕获的内容。两种类型的DSE绕过都被HVCI无效化：启动时修补无效，因为内核将完整性检查委托给安全内核，而使用SetVariable钩子写入g_CiOptions会导致SECURE_KERNEL_ERROR蓝屏。
• 不支持checked内核，因为禁用优化和添加断言导致PatchGuard和DSE初始化代码存在差异，以及checked内核中对PatchGuard的额外更改。这不应该是问题，因为checked内核在没有附加内核调试器的情况下通常没有用处，而附加调试器会禁用PatchGuard。

使用方法

有两种方法使用EfiGuard：启动加载程序应用，它将加载驱动程序并为你启动Windows，或者将驱动程序安装为UEFI驱动程序入口，这样固件会自动加载它。 在某些高级配置中，如多重引导时，安装驱动程序可能更可取，但加载程序最易使用，并且应该在所有配置中都能正常工作。请参阅下表了解两种方法之间最重要的区别。如果不确定，请选择加载程序应用。

	位置	安装	可跳过？	引导哪个操作系统？
UEFI驱动项	必须在ESP上	通过UEFI Shell	:x:	与之前相同
加载程序	任何位置	无需安装	:heavy_check_mark:	Windows

加载程序与UEFI驱动项比较

引导加载程序

1. 下载EfiGuard并将EFI/Boot/Loader.efi重命名为bootx64.efi。
2. 将文件放在引导驱动器上，如FAT32格式的USB存储盘（用于物理机）或ISO/虚拟磁盘（用于虚拟机）。 假设驱动器为X:，两个文件的路径现在应该是X:/EFI/Boot/{bootx64|EfiGuardDxe}.efi
3. 从步骤2中使用的驱动器引导机器。 大多数固件通过F8/F10/F11/F12提供引导菜单。如果没有，你需要配置BIOS从新驱动器引导。
4. Windows现在应该启动，你应该在启动过程中看到EfiGuard信息。
5. 如果你使用SetVariable钩子（默认设置）引导，在启动后从管理员命令提示符运行EfiDSEFix.exe -d以禁用DSE，或运行EfiDSEFix.exe查看完整选项列表。

注意，你不需要为加载程序使用单独的驱动器。如果更方便，你可以在Windows已安装的ESP上安装EfiGuard。但这稍微复杂一些，因为你需要为加载程序添加UEFI引导项。

要做到这一点，使用mountvol X: /S将ESP挂载到X:，然后按上述步骤操作，但不要重命名加载程序，直接将两个文件复制到X:/EFI/Boot。之后，你需要从UEFI Shell使用bcfg boot addp 0 Loader.efi "EfiGuard"手动添加UEFI引导项，或者使用efibootmgr（Linux）、EasyUEFI（Windows）或类似工具。

安装驱动程序

1. 使用mountvol X: /S将ESP挂载到X:。
2. 将EfiGuardDxe.efi复制到X:/EFI/Boot/EfiGuardDxe.efi。
3. 引导到UEFI Shell并添加UEFI驱动项：bcfg driver add 0 EfiGuardDxe.efi "EfiGuardDxe"。
4. Windows现在应该启动，你应该在启动过程中看到EfiGuard信息。
5. 如果你使用SetVariable钩子（默认设置）引导，在启动后从管理员命令提示符运行EfiDSEFix.exe -d以禁用DSE，或运行EfiDSEFix.exe查看完整选项列表。

注意：根据你的固件，你可能需要在步骤3中使用"addp"而不是"add"。已知VirtualBox需要这样做，可能一些主板固件也是如此。

注意：一些非常旧或不合规的固件可能完全不支持这种安装方法。在这些系统上，你别无选择，只能使用加载程序。

编译

编译EfiGuardDxe和加载程序

EfiGuard需要EDK2来构建。如果你没有安装EDK2，请先按照EDK2入门中的步骤操作，因为EDK2构建系统的设置相当复杂。本节假设你有一个workspace目录，你的WORKSPACE环境变量指向该目录，并且在workspace/edk2中检出了EDK2的副本。支持的编译器有MSVC、Clang、GCC和ICC。

1. 将EfiGuard仓库克隆到workspace/edk2/EfiGuardPkg。
2. 打开设置EDK2环境变量的提示符或shell。
3. 运行build -a X64 -t VS2019 -p EfiGuardPkg/EfiGuardPkg.dsc -b RELEASE，将VS2019替换为你的工具链。

这将在workspace/Build/EfiGuard/RELEASE_VS2019/X64中生成EfiGuardDxe.efi和Loader.efi。

编译EfiDSEFix

EfiDSEFix需要Visual Studio来构建。

1. 打开EfiGuard.sln并构建解决方案。

输出二进制文件EfiDSEFix.exe将在Application/EfiDSEFix/bin中。 Visual Studio 解决方案还包含 EfiGuardDxe.efi 和 Loader.efi 的项目，可与 VisualUefi 一起使用，但这些项目默认不会构建，因为没有额外代码它们无法链接，且构建输出会比 EDK2 产生的更大。由于 VisualUefi 缺少 UefiBootManagerLib，Loader.efi 完全无法链接。因此，这些项目文件仅作为开发辅助，EFI 文件仍应使用 EDK2 编译。要为此目的设置 VisualUefi，请将仓库克隆到 workspace/VisualUefi 并打开 EfiGuard.sln。

架构

虽然 EfiGuard 是一个 UEFI 引导工具包，但它最初并非如此。EfiGuard 最初是在 NT 上运行的磁盘补丁程序（类似于 UPGDSED），旨在测试基于反汇编器的方法的可行性，而不是使用 PDB 符号和特定版本的签名。PatchNtoskrnl.c 仍然非常类似于这种原始设计。只有在这种方法证明成功后，在一年多的 Windows 更新中无需修改代码，UEFI 才作为进一步提高功能和易用性的方式进入视野。

引导工具包方法提供的一些好处包括：

• 无需对内核或引导加载程序进行磁盘修改。
• 无需使用 bcdedit 修改引导配置存储。
• 无需修补 ImgpValidateImageHash（尽管这仍然是可选的）。
• 讽刺的是，使用引导工具包允许启用安全引导，前提是您拥有平台密钥并能够将个人证书添加到 db 存储中。

EfiGuard 作为引导工具包的初始版本是尝试让 dude719 的 UEFI-Bootkit 在最新版本的 Windows 10 上工作，因为它已经过时，不再适用于最新版本（像 UPGDSED 一样，通常由版本敏感的模式扫描引起）。虽然我最终成功了，但我对结果不满意，主要是因为选择钩住 OslArchTransferToKernel，如上所述，它在保护模式下执行，并且在调用 ExitBootServices 之后。除此之外，我对只能修补某些版本的 Windows 10 不满意；我希望引导工具包能在迄今为止发布的每个与 EFI 兼容的 Windows x64 版本上工作。因此，我从头开始重写了引导工具包，目标如下：

• 在引导的每个阶段提供补丁信息，包括内核补丁本身。
• 支持所有与 EFI 兼容的 Windows 版本（在撰写本文时）。
• 通过 EFI 系统表钩子实现引导工具包的延迟实例化，以及可选的内核后门。

上图显示了最终 EfiGuard 引导流程的概览。有关各个组件特定的钩子和补丁，请参见源文件中的 EfiGuardDxe/PatchXxx.c。有关驱动程序初始化/卸载和 EFI 引导和运行时服务钩子，请参见 EfiGuardDxe.c。

致谢

• UPGDSED 由 hfiref0x 和 Fyyre 开发
• Zydis 由 zyantific 开发
• Uninformed 关于 PatchGuard v1、v2 和 v3 的文章由 Skywing 撰写
• UEFI-Bootkit 由 dude719 开发
• ReactOS

许可证

EfiGuard 采用 GPLv3 许可。EfiGuardDxe/Zydis 子模块中的文件采用 MIT 许可。