Windows 如何将 pe 文件链接到其在目录文件中的签名？

Question

运行signtool.exe verify /a /v C:\Windows\notepad.exe 我可以看到notepad.exe 的签名在C:\Windows\system32\CatRoot\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ntexe.cat。 signtool 如何知道此 pe 文件的签名所在的位置？

我正在尝试在 python 中复制此 signtool 行为。获得目录文件后，我可以使用下面的代码获取证书信息，但我看不到 windows 如何将文件链接到目录。

import win32com.client
catpath = "C:\\Windows\\system32\\CatRoot\\{F----E}\\nt5.cat"
signedCode = win32com.client.Dispatch('capicom.signedcode')
signedCode.FileName=catpath
signedCode.Verify()
certs = signedCode.Certificates
for cert in certs:
    print cert.Archived
    print cert.IssuerName
    print cert.SerialNumber
    print cert.SubjectName
    print cert.Thumbprint
    print cert.ValidFromDate
    print cert.ValidToDate
    print cert.Version

但是如何获取可执行文件所在的安全目录文件？

Answer 1

免责声明：以下是基于测试的粗略猜测，因为没有记录确切的过程。

Windows 扫描 System32\CatRoot\{F7--EE} 中的每个 cat 文件，将它们添加到 system catalog database 并按每个条目的文件哈希/标记值粗略地对它们进行排序。
（由包含数据库进程日志的 CatRoot2\dberr.txt 揭示）
数据库是文件 System32\CatRoot2\{F7--EE}\catdb。
在 catdb 中，文件哈希后跟其在 CatRoot\{F7--EE} 中的 cat 文件名。
请注意，哈希不包括 PE 校验和和证书表条目。
哈希可以从SignTool verify /v 或this 获取。