efiSeek

Efiseek für Ghidra

Um

Der Analysator automatisiert den Prozess der Erforschung von EFI-Dateien und hilft dabei, bekannte Protokolle, SMI-Handler usw. zu entdecken und zu analysieren.

Merkmale

Findet bekannte EFI -Guids

Identifiziert Protokolle mit LOCATE_PROTOCOL -Funktion

Identifiziert Funktionen, die als NOTIFY verwendet werden

Identifiziert Protokolle, die im Modul über INSTALL_PROTOCOL_INTERFACE installiert sind

Identifiziert Funktionen, die als Interrupt -Funktion verwendet werden (wie einige Hardware, Software/Child Interrupt)

Skript zum Laden von EFI -Modulen in relevante Verzeichnisse im Headless mode

Sortieren von SMM -Modulen, die sich auf Meta -Informationen in nächste Ordner verlassen:

• Abginse
• Untergeordnet
• Hwinterrupts
• Unbekannte Interrupts

Installation

Setzen Sie GHIDRA_INSTALL_DIR Umgebungsvariable auf Ghidra Path.

Starten Sie gradlew.bat nach Abschluss eines Kopierarchivs aus dem dist -Verzeichnis an GHIDRA_HOME_DIR/Extensions/Ghidra/ . Und schalten Sie diese Ausweitung in Ihrer Ghidra ein.

Verwendung

Nach der Installation können Sie diesen Analysator frei verwenden. Wenn Sie eine EFI -Datei öffnen, wird der Analysator automatisch ausgewählt. Um den Analysator zu starten, drücken Sie A oder Analysis/Auto Analyze und Drücken Sie Analyze .

Referenzen

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/