CVE-2013-3900 缓解措施 (WinVerifyTrust / EnableCertPaddingCheck)

本仓库包含一个 PowerShell 修复与验证脚本，用于解决 Tenable/Nessus 扫描发现的问题：

• 插件 ID： 166555
• 名称： WinVerifyTrust 签名验证 CVE-2013-3900 缓解措施 (EnableCertPaddingCheck)

该脚本通过设置以下注册表值来强制启用 WinVerifyTrust 证书填充检查：

• EnableCertPaddingCheck (DWORD) = 1

在 64 位系统上，扫描器要求该值同时在本机注册表路径和 Wow6432Node（32 位视图）注册表路径中设置。

为什么这很重要

CVE-2013-3900 涉及 Windows 如何使用 WinVerifyTrust 验证 Authenticode 签名。
如果未强制启用证书填充检查，某些精心构造的签名可能会在不安全场景下被视为有效，漏洞扫描器会将主机标记为不合规。

Tenable 插件详情

环境

• 目标：Windows 11 虚拟机 (x64)
• PowerShell 版本：5.1
• 扫描类型：Tenable / Nessus
• 所需权限：管理员

脚本功能

✅ 确保以管理员身份运行
✅ 检测操作系统是否为64 位
✅ 确保所需注册表键存在
✅ 将 EnableCertPaddingCheck 设置为：

• 当 $secureEnvironment = $true 时为 1（安全 / 推荐）
• 当 $secureEnvironment = $false 时为 0（不安全 / 实验室/测试）

✅ 打印清晰的前后对比表格及合规性结果

脚本位置：

scripts/Set-WinVerifyTrustCertPadding.ps1

使用的注册表路径

脚本将设置应用到：

• HKLM:\Software\Microsoft\Cryptography\Wintrust\Config
• HKLM:\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config（64 位操作系统）

强制设置的值：

• EnableCertPaddingCheck (DWORD)

使用方法

1. 以管理员身份打开 PowerShell
2. （可选）编辑脚本中的开关：
   • $secureEnvironment = $true → 启用缓解措施（推荐）
   • $secureEnvironment = $false → 禁用缓解措施（仅限实验室/测试）
3. 运行：

.\scripts\Set-WinVerifyTrustCertPadding.ps1

技术验证

脚本通过以下方式验证配置：

• 读取两个注册表路径
• 比较当前值与目标值
• 打印合规性表格（前 → 后）
• 成功时返回退出代码 0

证据（修复前 vs 修复后）

修复前（扫描 5）

存在高危漏洞（插件 166555 – CVE-2013-3900）。
漏洞总数：5

修复后（扫描 6）

高危漏洞已移除。
漏洞总数减少：5 → 4

结果

• 移除了高危 CVE-2013-3900 漏洞
• 减少了整体漏洞数量
• 实现自动化修复并包含验证逻辑
• 完全兼容 Windows PowerShell 5.1

备注

• 通常不需要重启。
• 如果扫描器仍报告该漏洞，请确保使用凭据扫描并在重启后重新扫描。