适用于 Ghidra 的 efiSeek

简介

该分析器可自动执行 EFI 文件的研究过程，帮助发现和分析已知协议、SMI 处理器等。

功能特性

查找已知的 EFI GUID

识别通过 LOCATE_PROTOCOL 函数定位的协议

识别用作 NOTIFY 函数的函数

识别通过 INSTALL_PROTOCOL_INTERFACE 安装到模块中的协议

识别用作中断函数的函数（如某些硬件、软件/子中断）

用于在 Headless 模式下将 EFI 模块加载到相关目录的脚本

根据元信息将 SMM 模块分类到以下文件夹中：

• SwInterrupts
• ChildInterrupts
• HwInterrupts
• UnknownInterrupts

安装

将 GHIDRA_INSTALL_DIR 环境变量设置为 ghidra 路径。

启动 gradlew.bat，构建完成后，将 dist 目录中的归档副本复制到 GHIDRA_HOME_DIR/Extensions/Ghidra/。 然后在你的 ghidra 中启用此扩展。

使用方法

安装后，你可以自由使用此分析器。如果你打开一个 EFI 文件，该分析器会自动被选中。 要启动分析器，请按 A 或选择 Analysis/Auto Analyze，然后点击 Analyze。

参考

• https://github.com/al3xtjames/ghidra-firmware-utils
• https://github.com/danse-macabre/ida-efitools/