Win7Pe纯UEFI模式启动+Secure Boot 打开的情况下能否实现？

lxlzxy120

原来做的Win7PE在Legacy与UEFI（CSM支持）下能够顺利运行，现在需要在纯UEFI模式且Secure Boot打开的情况下运行，不知能否实现？该如何实现？

窄口牛

有可能，不过你得先做出来。以前的坑定不行。

lxlzxy120

窄口牛 发表于 2019-3-15 09:03
有可能，不过你得先做出来。以前的坑定不行。

谢谢！能不能指导一下？

qingyi78

http://bbs.wuyou.net/forum.php?mod=viewthread&tid=413396
第三种方法，之后用XORBOOT引导试试看

lxlzxy120

谢谢！阅读权限不够打不开这个链接！

hilsonma

附件是根据 wintoflash 的 安全启动环境下启动任意未签名EFI的方法 做出来的引导方案，@lxlzxy120 可以试试。

secureboot最简版是Shim+grub+xorboot 启动，可通过xorboot菜单管理启动项
secureboot+grub2扩展版是Shim+grub+grub2+xorboot 启动，既可通过xorboot菜单管理启动项，也可以通过grub2配置文件管理启动项

之所以添加grub2扩展是因为有些efi程序xorboot不支持，而grub2支持。

前面的 Shim+grub 这两个启动过程是解决 secureboot 的，之后的xorboot和grub2才真正是用户定义的启动。


一般选用最简版即可，如想试用单文件linux 和 grub2文件管理器之类就要使用grub2扩展版，因为这类EFI程序无法通过XORBOOT启动。

lxlzxy120

hilsonma 发表于 2019-3-16 13:15
附件是根据 wintoflash 的 安全启动环境下启动任意未签名EFI的方法 做出来的引导方案，@lxlzxy120 可以试试 ...

谢谢！研究研究试试！

lxlzxy120

lxlzxy120 发表于 2019-3-16 17:26
谢谢！研究研究试试！

唉，权限还是太低，阅读不了 “安全启动环境下启动任意未签名EFI的方法 ”！

hilsonma

lxlzxy120 发表于 2019-3-16 17:30
唉，权限还是太低，阅读不了 “安全启动环境下启动任意未签名EFI的方法 ”！

压缩包中有个secureboot.txt ，摘录了部分 安全启动环境下启动任意未签名EFI的方法 的内容。

hilsonma

lxlzxy120 发表于 2019-3-16 17:26
谢谢！研究研究试试！

因为我的电脑不能开Secure boot，所以我也没有试过是否真能通过Secureboot，请将结果告知，谢谢。

Lds1350

hilsonma 发表于 2019-3-16 13:15
附件是根据 wintoflash 的 安全启动环境下启动任意未签名EFI的方法 做出来的引导方案，@lxlzxy120 可以试试 ...

请问，我用redhat搭建的uefi pxe在老是被secure boot policy 拦截，有什么办法解决，是不是因为bootx64.efii没有签证。
错误信息：UEFI0073: Unable to boot PXE Device...because of the Secure Boot policy

hilsonma

Lds1350 发表于 2019-3-19 16:46
请问，我用redhat搭建的uefi pxe在老是被secure boot policy 拦截，有什么办法解决，是不是因为bootx64.e ...

是的，都提示了because of the Secure Boot policy
解决办法我目前知道的是wintoflash 的 安全启动环境下启动任意未签名EFI的方法，
他的办法是用Shim的bootx64.efi 做第一启动，Shim版bootx64.efi 会检验 grubx64.efi 的证书。如果检验通过，则加载 grubx64.efi，否则加载 Mokmanager.efi，Mokmanager.efi导入证书GRUBFM.cer 后再加载grubfmx64.efi，从而完成认证引导。

将你原本的bootx64.efi改名为grubfmx64.efi, 将附件中的文件放到同一个文件夹 ( \efi\boot ) ，应该可以解决secure boot 的认证问题。

注意，你的 \efi\boot\ 文件夹下应该有以下几个文件
bootx64.efi  ---------- Shim主程序，通过了微软的认证，由 Red Hat Bootloader Team 开发.
GRUBFM.cer  -------- grubfm密钥
grubx64.efi  --------- 可由Shim加载的GRUB启动文件。
MokManager.efi  --- 用户密钥(Machine Owner Key)管理
grubfmx64.efi  ----- 可由grubx64.efi加载的用户启动文件，原来要启动的EFI文件必须改成此文件名。

前4个文件下载的附件中有，后面那个grubfmx64.efi 就是你原来要启动的efi文件，不过要改名为grubfmx64.efi

江南一根葱

应该可以的，过安全启动后用udm.efi或ipxe.efi模板

江南一根葱

网启应该没法浏览到证书 无解吧

hilsonma

wintoflash 发表于 2019-3-19 21:58
网启应该找不到文件吧

谢谢 wintoflash 的回复。我没有弄过网启，所以不懂。
我是看楼主的问题，刚好自己看过你的贴子，知道一点，所以就回复楼主了，其实我自己都没有实践过。因为我的电脑一台开了secureboot就没有显示要清cmos，一台开了secureboot就提示secureboot not active 感觉没开一样。

wintoflash 问你一个问题：如果自己定制一个grub2引导，嵌入GRUBFM.cer ，命名为grubx64.efi，再用Shim引导，能不能通过认证引导成功？

hilsonma

wintoflash 发表于 2019-3-20 10:42
嵌入的不是cer文件，而是另外的文件。cer文件是给固件用的。

谢谢。请进一步解惑：
cer文件是给固件用的，那么是不是在Shim验证失败的时候，MokManager.efi 导入 GRUBFM.cer 是写入固件的，写一次之后固件中就已经包含有GRUBFM.cer了？

另外grub2定制中，grub-mkimage.exe 的 -k 参数 对通过secureboot有没有帮助？如果有用的话应该怎么使用？

hilsonma

wintoflash 发表于 2019-3-20 14:40
保存在nvram中。只要不清nvram就一直有效。

与安全启动无关。

好的。感谢您的指导。

yzw92

研究研究试试！

sparem

公司新电脑竟然锁了bios，uefi＋安全启动，可是有些老程序win10问题多多，正愁win7咋个绕过安全启动呢。得空试验下。

蓝星明月

lxlzxy120 发表于 2019-3-16 17:26
谢谢！研究研究试试！

谢谢！研究研究试试！权限不够下不了。。

蓝星明月

lxlzxy120 发表于 2019-3-16 17:26
谢谢！研究研究试试！

谢谢！

蓝星明月

hilsonma 发表于 2019-3-19 21:46
是的，都提示了because of the Secure Boot policy
解决办法我目前知道的是wintoflash 的 安全启动环 ...

谢谢，分享。

蓝星明月

hilsonma 发表于 2019-3-16 13:15
附件是根据 wintoflash 的 安全启动环境下启动任意未签名EFI的方法 做出来的引导方案，@lxlzxy120 可以试试 ...

谢谢，分享。

蓝星明月

hilsonma 发表于 2019-3-16 18:35
压缩包中有个secureboot.txt ，摘录了部分 安全启动环境下启动任意未签名EFI的方法 的内容。

谢谢！！！

sfnyz

权限不够，下不了，可以网盘分享一下吗？谢谢！