用途：面向 UEFI/PI 固件镜像的逆向分析，覆盖阶段与模块类型判定、DXE 驱动与 UEFI 模块提取、bootkit 定位及 Secure Boot 启动链分析。核心原则是先判阶段与类型再谈逻辑：SEC→PEI→DXE→BDS→OS/Runtime，SMM 独立一路；DXE_DRIVER 与 DXE_RUNTIME_DRIVER 生命周期不同。
主要能力：解析 Firmware Volume→FFS File→Section 层次；按 GUID 提取裸 PE 模块；识别 LocateProtocol/InstallProtocolInterface/CreateEvent 等 Protocol 服务；定位定时器回调、SMI handler、BDS 启动路径挂钩、Runtime Services 钩子等 bootkit 特征；用 OVMF 仿真观察行为差异。
使用方式：先 file 与熵初勘，再用 uefiextract fw.bin all 全量递归解包；按 GUID 提取用 uefiextract fw.bin <GUID> -o driver.efi -m body -t 10，file 确认输出为 PE32+ EFI boot service driver 后进 Ghidra/IDA 反编译；仿真用 qemu-system-x86_64 加载 OVMF_CODE.fd 与 OVMF_VARS.fd，加 -net none 隔离。工具安装：Debian/Ubuntu 用 apt install uefitool uefitool-cli、apt install ovmf、apt install qemu-system-x86；Fedora 用 dnf install edk2-ovmf、dnf install qemu-system-x86-core；Arch 用 pacman -S edk2-ovmf、pacman -S qemu-system-x86。
适用场景：BIOS 更新包（.fd/.rom/.bin）、UEFI 驱动、EFI 应用、bootkit 验证与 Secure Boot 相关分析。
限制：不适用于传统 Linux 嵌入式 rootfs、Legacy BIOS Option ROM 或非 EFI 传统固件；静态分析先行，仿真 bootkit 属运行恶意代码，须在沙箱内并网络隔离；Secure Boot 签名绕过、密钥提取及真实设备验证需合法授权，默认在无签名约束的 OVMF 中分析。常见坑包括多 FV 嵌套、压缩节遮挡、PE 头不在文件偏移 0、把 HOB 当普通全局变量、把 GUID 当无语义 UUID、混淆 DXE_DRIVER 与 DXE_RUNTIME_DRIVER。