用途：面向底层持久化恶意代码的取证分析，处理感染MBR、VBR或UEFI固件的bootkit，以及内核级rootkit。适用于系统重装后仍被感染、杀毒与EDR无法检出、UEFI安全启动被禁用或完整性异常、内存取证发现隐藏进程或系统调用挂钩，以及调查已知部署bootkit的国家级威胁组织等情形。不适用于普通用户态恶意软件。
主要能力：采集MBR（磁盘前512字节）、首个磁道、VBR及UEFI系统分区；使用chipsec或flashrom转储UEFI固件；用ndisasm反汇编16位实模式MBR代码并与已知干净基线比对；用UEFITool提取固件卷、列出DXE驱动并与厂商基线比对；用YARA扫描固件；用Volatility 3检测SSDT挂钩、隐藏进程（DKOM）、回调、驱动与IDT挂钩；验证bootmgfw.efi、winload.efi、ntoskrnl.exe签名与Measured Boot日志，检查bcdedit中的testsigning等篡改项；最终输出包含引导链完整性、持久化机制与归因的分析报告。
必要用法：离线采集示例命令包括 dd if=/dev/sda of=mbr.bin bs=512 count=1、dd if=/dev/sda1 of=vbr.bin bs=512 count=1、python chipsec_util.py spi dump firmware.rom、flashrom -p internal -r firmware.rom；分析示例包括 ndisasm -b16 mbr.bin、UEFIExtract firmware.rom all、python chipsec_main.py -m common.secureboot.variables、vol3 -f memory.dmp windows.ssdt 与 windows.callbacks、sigcheck -a C:\Windows\Boot\EFI\bootmgfw.efi、bcdedit /v。建议从Linux live USB离线操作，避免执行被感染的OS组件。
限制：资料未提供具体授权与合规要求、支持平台清单、性能指标或与其他工具的集成情况；提到需注意不要在受感染系统中实时分析、不要遗漏SPI闪存、不要假定安全启动能阻止所有bootkit，以及重刷前应保留原始固件转储作为证据。