Ghidra用efiSeek

概要

このアナライザーはEFIファイルの調査プロセスを自動化し、既知のプロトコル、SMIハンドラーなどの発見と分析を支援します。

機能

既知のEFI GUIDを検出

LOCATE_PROTOCOL関数で配置されたプロトコルを識別

NOTIFY関数として使用される関数を識別

INSTALL_PROTOCOL_INTERFACEを通じてモジュールにインストールされたプロトコルを識別

割り込み関数として使用される関数を識別（ハードウェア、ソフトウェア/子割り込みなど）

HeadlessモードでEFIモジュールを関連ディレクトリにロードするスクリプト

メタ情報に基づいてSMMモジュールを次のフォルダーに分類します:

• SwInterrupts
• ChildInterrupts
• HwInterrupts
• UnknownInterrupts

インストール

GHIDRA_INSTALL_DIR環境変数をghidraのパスに設定します。

gradlew.batを起動し、ビルド完了後、distディレクトリからアーカイブのコピーをGHIDRA_HOME_DIR/Extensions/Ghidra/に配置します。 そして、ghidraでこの拡張機能を有効にします。

使用方法

インストール後、このアナライザーを自由に使用できます。EFIファイルを開くと、アナライザーが自動的に選択された状態で表示されます。 アナライザーを開始するには、AキーまたはAnalysis/Auto Analyzeを押し、Analyzeを押します。

参考

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/