WinVerifyTrust是Windows下验证DLL签名最轻量可靠的方式，需正确配置WINTRUST_DATA结构体并指定文件路径，验证失败时需结合CryptQueryObject等进一步诊断原因。
Windows平台下用WinVerifyTrust验证DLL签名有效性
直接调用WinVerifyTrust是最轻量、最可靠的方式——它不依赖PowerShell或外部工具，也不需要手动解析PE结构或证书链。系统内置的函数会自动完成签名提取、证书链验证、吊销检查（CRL/OCSP）、时间戳校验等全部逻辑。
关键点：必须传入WINTRUST_DATA结构体，并将dwUnionChoice设为WTD_CHOICE_FILE，同时指定DLL路径；不能用WTD_CHOICE_BLOB试图读取内存镜像，因为签名验证依赖文件原始字节（包括嵌入式签名位置和页对齐）。
- 调用前确保DLL文件未被其他进程独占打开（否则
WinVerifyTrust可能返回TRUST_E_NOSIGNATURE） - 若DLL带时间戳，即使签名证书已过期，只要时间戳在有效期内且证书当时未吊销，验证仍可通过
- 需链接
Wintrust.lib，并包含wintrust.h头文件
验证失败时如何区分具体原因
WinVerifyTrust只返回一个HRESULT（如0x800B0100），但实际错误类型藏在WINTRUST_CERT_INFO扩展数据里。更实用的做法是：先用WinVerifyTrust快速判断是否通过；若失败，再用CryptQueryObject + CertGetCertificateChain手动提取签名信息并查错。
-
0x800B0109（TRUST_E_CERT_SIGNATURE）：签名被篡改或哈希不匹配 -
0x800B010A（TRUST_E_TIME_STAMP）：时间戳无效或不可信 -
0x800B010C（TRUST_E_BAD_DIGEST）：文件内容与签名中记录的哈希值不符（常见于加载前被修改） -
0x80096010（CERT_E_EXPIRED）：证书本身已过期，但若有有效时间戳则不影响验证结果
避免“假阳性”：验证前必须检查文件完整性
仅验证签名不等于DLL安全——攻击者可替换已签名DLL的导入表、添加IAT钩子，或利用合法签名的旧版DLL中的已知漏洞。因此，签名验证必须配合文件内容校验。
- 不要跳过
WINTRUST_DATA中hClientToken字段（设为NULL即可），否则可能绕过某些策略检查 - 验证通过后，建议用
GetFileAttributes确认DLL未被写入（FILE_ATTRIBUTE_READONLY应存在），防止运行时被覆盖 - 若DLL用于敏感场景（如驱动加载、权限提升），还需调用
GetBinaryType确认不是伪装成DLL的EXE（SCS_32BIT_BINARY等标识）
C++代码片段：最小可行验证逻辑
#include <wintrust.h>
#pragma comment(lib, "Wintrust.lib")
<p>bool IsDllSignedValid(const wchar_t* dllPath) {
GUID policyGUID = WINTRUST_ACTION_GENERIC_VERIFY_V2;
WINTRUST_FILE_DATA fileData = {};
fileData.cbStruct = sizeof(fileData);
fileData.pcwszFilePath = dllPath;</p>
<pre class="brush:php;toolbar:false;">WINTRUST_DATA trustData = {};
trustData.cbStruct = sizeof(trustData);
trustData.dwUIChoice = WTD_UI_NONE;
trustData.fdwRevocationChecks = WTD_REVOKE_WHOLECHAIN;
trustData.dwUnionChoice = WTD_CHOICE_FILE;
trustData.pFile = &fileData;
trustData.dwStateAction = WTD_STATEACTION_IGNORE;
trustData.dwProvFlags = WTD_REVOCATION_CHECK_CHAIN | WTD_CACHE_ONLY_URL_RETRIEVAL;
HRESULT hr = WinVerifyTrust(NULL, &policyGUID, &trustData);
return hr == ERROR_SUCCESS;
}
注意：WTD_CACHE_ONLY_URL_RETRIEVAL能避免网络请求导致超时，但会跳过实时吊销检查；生产环境若需强一致性，应移除此标志并处理可能的网络延迟。
真正难的不是调用API，而是理解“签名有效”和“可信任”的区别——系统认为签名合法，不代表你该加载它。比如自签名证书、企业内网CA签发的DLL，在非受控环境中都可能构成风险。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
