fwhunt scan

Scanner communautaire FWHUNT

Outils pour analyser le micrologiciel UEFI et vérifier les modules UEFI avec des règles FWHUNT.

Dépendances

Rizin (V0.6.2)

Installation

Installez avec pip (testé sur python3.6 et supérieur):

 $ python -m pip install fwhunt-scan

Installer manuellement:

 $ git clone https://github.com/binarly-io/fwhunt-scan.git && cd fwhunt-scan
$ python setup.py install

Exemple

Avec script

Analyser / scanner le module séparé:

 $ python3 fwhunt_scan_analyzer.py analyze-module {image_path} -o out.json
$ python3 fwhunt_scan_analyzer.py scan-module --rule {rule_path} {image_path}

Scannez l'intégralité de l'image du firmware:

 $ python3 fwhunt_scan_analyzer.py scan-firmware -r rules/BRLY-2021-001.yml -r rules/BRLY-2021-004.yml -r rules/RsbStuffingCheck.yml test/fw.bin

Avec Docker

Pour éviter d'installer des dépendances, vous pouvez utiliser l'image Docker.

Vous pouvez créer une image Docker localement comme suit:

 docker build -t fwhunt_scan .

Ou tirez la dernière image de GHCR.

Exemple d'utilisation:

 docker run --rm -it -v {module_path}:/tmp/image:ro 
  fwhunt_scan analyze-module /tmp/image # to analyze EFI module

docker run --rm -it -v {module_path}:/tmp/image:ro -v {rule_path}:/tmp/rule.yml:ro 
  fwhunt_scan scan-module /tmp/image -r /tmp/rule.yml # to scan EFI module with specified FwHunt rule

docker run --rm -it -v {module_path}:/tmp/image:ro -v {rule_path}:/tmp/rule.yml:ro 
  fwhunt_scan scan-firmware /tmp/image -r /tmp/rule.yml # to scan firmware image with specified FwHunt rule

docker run --rm -it -v {module_path}:/tmp/image:ro -v {rules_directory}:/tmp/rules:ro 
  fwhunt_scan scan-firmware /tmp/image --rules_dir /tmp/rules # to scan firmware image with specified rules directory

Toutes ces étapes sont automatisées dans le script fwhunt_scan_docker.py :

 python3 fwhunt_scan_docker.py analyze-module {module_path} # to analyze EFI module

python3 fwhunt_scan_docker.py scan-module -r {rule_path} {module_path} # to scan EFI module with specified FwHunt rule

python3 fwhunt_scan_docker.py scan-firmware -r {rule_path} {firmware_path} # to scan firmware image with specified FwHunt rule

python3 fwhunt_scan_docker.py scan-firmware --rules_dir {rules_directory} {firmware_path} # to scan firmware image with specified rules directory

À partir du code

Uefianalyzer

Exemples d'utilisation de base:

 from fwhunt_scan import UefiAnalyzer

...
uefi_analyzer = UefiAnalyzer ( image_path = module_path )
print ( uefi_analyzer . get_summary ())
uefi_analyzer . close ()

 from fwhunt_scan import UefiAnalyzer

...
with UefiAnalyzer ( image_path = module_path ) as uefi_analyzer :
    print ( uefi_analyzer . get_summary ())

Sur les plates-formes Linux, vous pouvez passer BLOB pour l'analyse au lieu du fichier:

 from fwhunt_scan import UefiAnalyzer

...
with UefiAnalyzer ( blob = data ) as uefi_analyzer :
    print ( uefi_analyzer . get_summary ())

Uefccanner

 from fwhunt_scan import UefiAnalyzer , UefiRule , UefiScanner

...
uefi_analyzer = UefiAnalyzer ( module_path )

# rule1 and rule2 - contents of the rules on YAML format
uefi_rules = [ UefiRule ( rule1 ), UefiRule ( rule2 )]

scanner = UefiScanner ( uefi_analyzer , uefi_rules )
result = scanner . result