关于

这是一个用于扩展 UEFI 逆向工程能力的 IDA 插件。基于 ida-efitools，并包含大量修复和新功能。
同时支持 Python 2 和 Python 3。支持旧版 IDA Pro 7.x，但不提供任何保证。

功能

• GUID 定义
• 结构体传播（寄存器、交叉引用、栈变量）
• 协议与接口识别
• 未知协议初始化

扩展功能

• 既可作为插件使用，也可作为脚本使用。
• 自动从 efitools2/types 目录导入自定义 C 声明（结构体、枚举、联合体、typedef）
• 将代码段权限设置为 RWE（以修复反编译器中错误的死代码消除）

仅插件功能

• 提供同步外部类型的能力
• 从反汇编视图打印并复制选中的 EFI_GUID 到剪贴板
• 从局部变量赋值中提取 EFI_GUID

重要说明

• 弃用 behemoth.til，改用 IDA 自带的 uefi.til 和 uefi64.til
• 不要使用 IDA 7.3 中的 uefi(64).til，因为它存在错误

使用方法

作为脚本

直接从 IDA 中运行 efitools2/efitools.py。

作为插件

快捷键：

• Ctrl-Alt-E - 执行所有魔法操作
• Ctrl-Alt-G（在数据上）- 打印并复制当前光标位置的 EFI_GUID
• Ctrl-Alt-G（在代码上）- 从局部变量赋值中提取并复制 EFI_GUID（将光标置于 EFI_GUID.data1 赋值处）
• F5（在 Local Types 窗口中）- 从 types 文件夹同步本地类型

调整

• 快捷键可在 ida-efitool2.py 文件中配置。
• 一些偏好设置可在 efitools2/efitools.py 文件中找到。
• 自定义 GUID 应放置在 efitools2/guids/custom.ini 文件中。
• 自定义协议应放置在 efitools2/types 文件夹内。可参考现有示例。

如何导出自定义类型

这是 IDA 的内置功能。只需在 Local Types 窗口中右键点击该类型，然后选择“Export to header file”操作即可。

前置条件

• pip install future - 仅适用于 Python 2。
• pip install clipboard - 如果你希望自动将 EFI_GUID 内容复制到剪贴板。

插件安装

只需将 ida-efitools2.py 文件和 efitools2 文件夹复制到 IDA 的插件目录即可。

致谢

@snare 提供了 ida-efiutils 的原始代码基础。
@danse-macabre 从头重写了 ida-efitools。
@djpohly、@al3xtjames、@vutung2311 提供了贡献（分支）。
@p-state（我）为其注入了新的活力。