efiSeek

Efiseek for Ghidra

關於

分析儀可自動研究EFI文件的過程，幫助發現和分析眾所周知的協議，SMI處理程序等。

特徵

找到已知的EFI GUID的

標識帶有LOCATE_PROTOCOL函數的協議

標識用作NOTIFY函數的函數

通過INSTALL_PROTOCOL_INTERFACE標識模塊中安裝的協議

標識用作中斷功能的功能（例如某些硬件，軟件/兒童中斷）

將EFI模塊加載到相關目錄的腳本以Headless mode

將依賴元信息的SMM模塊排序到下一個文件夾中：

• 散佈
• 兒童介入
• hwinters
• 未知中斷

安裝

將GHIDRA_INSTALL_DIR環境變量設置為ghidra路徑。

啟動gradlew.bat ，完成從dist目錄到GHIDRA_HOME_DIR/Extensions/Ghidra/構建複製檔案後。並打開Ghidra的這種擴展。

用法

安裝後，您可以免費使用此分析儀。如果打開EFI文件，則將自動選擇分析儀。要啟動分析儀，請按A或Analysis/Auto Analyze並按Analyze 。

參考

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/