efiSeek

Efiseek para Ghidra

Sobre

O analisador automatiza o processo de pesquisa de arquivos EFI, ajuda a descobrir e analisar protocolos conhecidos, manipuladores SMI etc.

Características

Encontra o EFI GUID conhecido

Identifica protocolos localizados com a função LOCATE_PROTOCOL

Identifica funções usadas como a função NOTIFY

Identifica os protocolos instalados no módulo através INSTALL_PROTOCOL_INTERFACE

Identifica as funções usadas como uma função de interrupção (como algum hardware, software/interrupção filho)

Script para carregar módulos EFI para diretórios relevantes no Headless mode

Classificando os módulos SMM dependendo de meta informações nas próximas pastas:

• Swinterrupts
• ChildInterrupts
• Hwinterrupts
• UnknownInterrupts

Instalação

Defina a variável de ambiente GHIDRA_INSTALL_DIR no caminho de ghidra.

Inicie gradlew.bat , após a conclusão da construção de um arquivo de cópia do diretório dist para GHIDRA_HOME_DIR/Extensions/Ghidra/ . E ativar esta extensão em seu ghidra.

Uso

Após a instalação, você é livre para usar este analisador. Se você abrir um arquivo EFI, o analisador será selecionado automaticamente. Para iniciar o analisador, pressione A ou Analysis/Auto Analyze Analyze .

Referências

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/