BlackLotus

BlackLotus（又名 CVE-2023-24932 修复脚本）适用于 Intune、ConfigMgr 以及通用的临时使用。

博客文章：https://ajf.one/blacklotus

常规说明

• 这些修复脚本不会触发任何重启。它们被设计为“随时间推移”运行，设备最终会通过“自然”重启（无论是每月更新、用户主动重启还是其他原因）报告为符合要求。
• 对于 Intune 修复和 ConfigMgr CI 使用，整个修复脚本必须放置在检测脚本中。这是因为这些脚本的运行方式类似于“选择你自己的冒险”故事，具有多个退出点，每个退出点都会返回自己的输出。
• 每个脚本的开头部分相当于“检测”脚本，以避免在已符合要求的设备上进行任何更改或执行过多的日志记录。
• 如果遇到任何问题或有任何反馈，欢迎在此处打开 Issue，或在 WinAdmins 的 Discord 上 ping 我（@krbtgt），非常感谢！

阶段 1：将更新的证书定义安装到数据库，并更新设备上的启动管理器

流程图：

阶段 1 脚本将按照 Microsoft 发布的指南 执行步骤 1 和 2，具体操作如下：

1. 将 AvailableUpdates 注册表值设置为 0x40
2. 启动 \Microsoft\Windows\PI\Secure-Boot-Update 计划任务以执行步骤 1“将更新的证书定义安装到数据库”
3. 验证步骤 1 是否已完成
4. 将 AvailableUpdates 注册表值设置为 0x100
5. 启动 \Microsoft\Windows\PI\Secure-Boot-Update 计划任务以执行步骤 2“更新设备上的启动管理器”
6. 验证步骤 2 是否已完成

每个步骤之间都会进行验证，并将验证结果记录到 $env:TEMP\BlackLotusPhase1Remediation.log，同时返回给 Intune（如果作为修复脚本运行）。

阶段 2：启用吊销并将 SVN 更新应用到固件

流程图：

阶段 2 脚本将按照 Microsoft 发布的指南 执行步骤 3 和 4，具体操作如下：

1. 将 AvailableUpdates 注册表值设置为 0x80
2. 启动 \Microsoft\Windows\PI\Secure-Boot-Update 计划任务以执行步骤 3“启用吊销”
3. 验证步骤 3 是否已完成
4. 将 AvailableUpdates 注册表值设置为 0x200
5. 启动 \Microsoft\Windows\PI\Secure-Boot-Update 计划任务以执行步骤 4“将 SVN 更新应用到固件”
6. 验证步骤 4 是否已完成