到底是微软网站管理混乱，还是其它原因？下载的文件 hash 跟 KB 网页对不上，但数字签名校验却又正常，好奇怪。。。

This topic created in 3514 days ago, the information mentioned may be changed or developed.

https://support.microsoft.com/en-us/kb/3185330

Windows6.1-KB3185330-x64.msu SHA-1: A321E5CCA6A4415D4CBF1F7D34D86690B2BB14B0 SHA-256: 474B24B50593ABCA810E08217205CFE076354417A0C2EBFACA3F61F86597E680

而我通过 https 链接下载的文件 SHA-256 却为： B914AF618F3C8F8D2BBFB2E2945B5A379D5160D7BA98E4A3D0D8F9F078CC50F6

这个文件数字签名校验完全正常，以前在微软网站上从来没遇到过这种情况。

sha-256

文件

名校

sha-1

13 replies • 2016-10-17 13:01:18 +08:00

0TSH60F7J2rVkg8t

Oct 16, 2016 via iPhone

语言不对？

pmpio

Oct 17, 2016 via Android

不会的，我的浏览器默认英语优先，打开 KB 网页就是英文，下载页也是英文。而且，这文件应该不分语种的，要分的话，文件名应该有 en-us 之类的。。。。

lslqtz

Oct 17, 2016

没关系数字签名正常就好了。。

skydiver

Oct 17, 2016

我点了一下下载链接发现跳转到 https://download.microsoft.com/download/3/0/7/30782EFF-DD02-4462-9E95-BBE736663934/Windows6.1-KB3185330-x64.msu

然后就 502 了……

pmpio

Oct 17, 2016 via Android

@lslqtz 数字签名不保险的。 freebuf 上看过一篇文章，数字签名实际上是抽取文件某些段来算 hash 的，相当于抽样检查，只要技术够牛，是有可能在文件中插入恶意代码的。

pmpio

Oct 17, 2016 via Android

@skydiver 嗯，我就是通过这链接下载的， 502 ？ https 理论上讲无法缓存，应该不是运营商搞的，那么，就是微软的 cdn 服务器与后端通讯出回题了，我估计你的 dns 是将 download.microsoft.com 指向国内的 cdn 了。

yufengshizhe

Oct 17, 2016

应该是 CDN 的锅

naver1

Oct 17, 2016

“安全连接失败

连接 download.microsoft.com 时发生错误。对等端的证书已被废除。错误代码: SEC_ERROR_REVOKED_CERTIFICATE ”

lslqtz

Oct 17, 2016

@pmpio 然后你再确保和站点的下载是 https 的

pmpio

Oct 17, 2016

@lslqtz 作为一个中国移动宽带用户，早就 https 强迫症了。。。

@DT27 我也很奇怪， Chrome 打开下载链接很正常，但 Firefox 就会提示证书异常。难道 Google 的安全防护还不如 Mozilla 牛 B ？

naver1

Oct 17, 2016

hosts 文件中指定 `23.63.41.132 download.microsoft.com` 就没问题了。国内 cdn 的问题。这 ip 是国外某个 cdn 。。。

pmpio

Oct 17, 2016

@DT27 确实，指定 hosts 到美国 ip 后，证书就没问题了，但下载的文件 sha-256 仍然是 B914AF618F3C8F8D2BBFB2E2945B5A379D5160D7BA98E4A3D0D8F9F078CC50F6 ，我已经在 kb 网页提交了 feedback ，但写的是中文，不知他们能不能看懂。

lslqtz

Oct 17, 2016

@pmpio https 安全就放心用