如何利用自动化脚本定期核对系统关键SO库文件的数字签名-安全-PHP中文网

windows下可用signtool配合powershell脚本定期校验dll等pe文件签名，验证其是否被篡改及是否来自可信发布者；so文件若为linux elf格式则不支持，需转用apksigner或elf解析工具。

如何利用自动化脚本定期核对系统关键so库文件的数字签名

直接用 Windows 自带的 SignTool 配合 PowerShell 脚本，就能实现对关键 SO 库（实际在 Windows 中多为 DLL 或 EXE，SO 主要见于 Linux/Android；若指 Windows 下类 SO 的原生模块，如 libcrypto.so 的 Windows 移植版或 MinGW 编译的 .dll）的签名定期校验。重点不是“能不能签”，而是“有没有被篡改、是否来自可信发布者”。

确认目标文件是否支持代码签名

Windows 下只有 PE 格式文件（.exe、.dll、.sys 等）才支持 Authenticode 数字签名；原生 Linux .so 文件不被 SignTool 识别。若你手头是跨平台项目生成的 libxxx.so，需先确认：

它是否为 Windows 兼容格式（比如用 MinGW-w64 编译出的 libxxx.dll，而非 ELF 格式 .so）
是否已由开发者使用有效证书签名（可通过 signtool verify /pa file.dll 手动验证）
若确为 Linux .so（如 Android 逆向场景中的 libnative.so），则 SignTool 不适用，应转向 apksigner 或自定义 ELF 签名解析逻辑

用 SignTool + PowerShell 实现自动签名验证

假设目标是已签名的 Windows 动态库（例如 C:\Program Files\MyApp\libcrypto.dll），可构建如下流程：

写一个 verify-signature.ps1：

$files = @(
  "C:\Program Files\MyApp\libcrypto.dll",
  "C:\Program Files\MyApp\libssl.dll"
)
$SigToolPath = "C:\Program Files (x86)\Windows Kits\10\bin\10.0.22621.0\x64\signtool.exe"
$logFile = "$PSScriptRoot\signature_check_$(Get-Date -Format 'yyyyMMdd').log"
<p>foreach ($f in $files) {
if (-not (Test-Path $f)) { Write-Warning "Missing: $f"; continue }
$result = & $SigToolPath verify /pa /q $f 2>&1
$status = if ($LASTEXITCODE -eq 0) { "OK" } else { "FAILED" }
$time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
"$time | $f | $status | $result" | Out-File -FilePath $logFile -Append
if ($LASTEXITCODE -ne 0) {</p><h1>可选：触发告警（弹窗/邮件/事件日志）</h1><pre class="brush:php;toolbar:false;">Write-EventLog -LogName Application -Source "SignatureCheck" -EntryType Warning -EventId 1001 -Message "Signature check failed for $f"

} }

要点说明：

/pa 表示使用 Windows 默认策略（不强制时间戳，兼容旧签名）
/q 是静默模式，避免干扰自动化输出
必须确保 signtool.exe 路径存在，或把 SDK 的 bin 目录加入系统 PATH
脚本需以普通用户权限运行即可（验证签名不需要管理员权）

集成到计划任务，每天自动执行

无需第三方调度器，用 Windows 内置任务计划程序即可：

打开“任务计划程序”，新建基本任务
触发器设为“每天”+指定时间（如凌晨 2:00）
操作设为“启动程序”，程序为 powershell.exe，参数填：
-ExecutionPolicy Bypass -File "D:\scripts\verify-signature.ps1"
勾选“不管用户是否登录都要运行”，并启用“不存储密码时只在用户登录时运行”（若需交互式环境）

这样就实现了无人值守的每日签名状态快照与异常捕获。