Ghidra용 efiSeek

소개

이 분석기는 EFI 파일을 조사하는 과정을 자동화하며, 잘 알려진 프로토콜, SMI 핸들러 등을 발견하고 분석하는 데 도움을 줍니다.

기능

알려진 EFI GUID 찾기

LOCATE_PROTOCOL 함수로 위치가 확인된 프로토콜 식별

NOTIFY 함수로 사용되는 함수 식별

INSTALL_PROTOCOL_INTERFACE를 통해 모듈에 설치된 프로토콜 식별

인터럽트 함수로 사용되는 함수 식별 (일부 하드웨어, 소프트웨어/자식 인터럽트 등)

Headless 모드에서 efi 모듈을 관련 디렉터리로 로드하는 스크립트

메타 정보를 기반으로 SMM 모듈을 다음 폴더로 분류합니다:

• SwInterrupts
• ChildInterrupts
• HwInterrupts
• UnknownInterrupts

설치

GHIDRA_INSTALL_DIR 환경 변수를 ghidra 경로로 설정합니다.

gradlew.bat을 실행하고, 빌드가 완료되면 dist 디렉터리의 아카이브 사본을 GHIDRA_HOME_DIR/Extensions/Ghidra/로 복사합니다. 그런 다음 ghidra에서 이 확장 기능을 활성화합니다.

사용법

설치 후 이 분석기를 자유롭게 사용할 수 있습니다. EFI 파일을 열면 분석기가 자동으로 선택된 상태로 표시됩니다. 분석기를 시작하려면 A 또는 Analysis/Auto Analyze를 누른 다음 Analyze를 누릅니다.

참고 자료

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/