自定义 PE/COFF 加载器

已签名的 shdloader.efi 包含了自己的 PE/COFF 映像加载器实现。它没有调用固件的 LoadImage() 启动服务（该服务会调用安全架构协议并根据安全启动数据库验证映像的签名），而是：

1. 使用 EFI_SIMPLE_FILE_SYSTEM_PROTOCOL 打开 \EFI\Boot\shdmgr.ef_
2. 将原始文件内容读入内存缓冲区
3. 解析 PE/COFF 头（MZ 签名、PE 签名、可选头）
4. 在任意地址分配内存
5. 根据节表复制节
6. 处理 .reloc 节并应用基址重定位
7. 解析入口点地址
8. 跳转到入口点

在此过程中的任何时刻，加载器都不会验证映像的 Authenticode 签名、检查安全启动数据库（db/dbx）或调用 EFI_SECURITY2_ARCH_PROTOCOL。映像完全基于其 PE/COFF 结构有效性进行加载。```c // Pseudocode of what shdloader.efi does internally // // NOTE: This is a simplified representation. The actual // implementation was derived from reverse engineering.

EFI_STATUS LoadShdmgr(VOID) { // Step 1: Open the file File = OpenFile(L"\EFI\Boot\shdmgr.ef_");

// Step 2: Read raw bytes (no signature check)
ReadFile(File, &Buffer, &Size);

// Step 3: Parse PE/COFF headers
DosHeader = (EFI_IMAGE_DOS_HEADER *)Buffer;
PeHeader  = (EFI_IMAGE_NT_HEADERS *)(Buffer + DosHeader->e_lfanew);

// Step 4: Allocate memory and copy sections
ImageBase = AllocatePages(...);
CopySections(ImageBase, Buffer, PeHeader);

// Step 5: Apply base relocations from .reloc
Delta = ImageBase - PeHeader->OptionalHeader.ImageBase;
ApplyRelocations(ImageBase, PeHeader, Delta);

// Step 6: Jump to entry point
//         NO SIGNATURE VERIFICATION ANYWHERE
EntryPoint = ImageBase + PeHeader->OptionalHeader.AddressOfEntryPoint;
((EFI_IMAGE_ENTRY_POINT)EntryPoint)(ImageHandle, SystemTable);

}

---

<div id='LoadImageVsCustomLoader'/>

### ***LoadImage 与自定义加载器***

固件的 `LoadImage()` 与自定义加载器之间的差异，正是关键的安全缺口：```
┌─────────────────────────────────────────────────────────────────────────┐
│  Firmware LoadImage() - How legitimate boot chains work                 │
│                                                                         │
│  bootx64.efi ──> LoadImage("shdmgr.ef_")                                │
│                      │                                                  │
│                      ├── Parse PE/COFF headers                          │
│                      ├── Verify Authenticode signature                  │
│                      ├── Check signature against db (allowed)           │
│                      ├── Check hash against dbx (revoked)               │
│                      ├── Call gSecurity2->FileAuthenticationState()     │
│                      │       │                                          │
│                      │       ├── Signature valid? ── YES ──> Load image │
│                      │       └── Signature invalid? ── NO ──> REJECT    │
│                      └── StartImage()                                   │
│                                                                         │
├─────────────────────────────────────────────────────────────────────────┤
│  Custom PE Loader - What shdloader.efi does                             │
│                                                                         │
│  shdloader.efi ──> OpenFile("shdmgr.ef_")                               │
│                      │                                                  │
│                      ├── ReadFile() into buffer                         │
│                      ├── Parse PE/COFF headers                          │
│                      ├── Allocate memory                                │
│                      ├── Copy sections                                  │
│                      ├── Apply .reloc relocations                       │
│                      ├── *** NO SIGNATURE CHECK ***                     │
│                      └── Jump to EntryPoint                             │
│                                                                         │
│  Result: ANY valid PE/COFF EFI application runs, signed or not          │
└─────────────────────────────────────────────────────────────────────────┘

缺少其中任何一项的二进制文件都会被自定义加载器拒绝。