用途：在自有或获授权系统上做固件与 Secure Boot 防御性核查，检测 UEFI bootkit 与 Secure Boot 绕过（如 BlackLotus、Bootkitty）。核心思路是仅打补丁不够，须确认 Secure Boot 已启用、dbx 吊销列表为最新且含相关 CVE 吊销项、EFI 变量受保护、ESP 启动二进制未被篡改。
主要能力：确认 Secure Boot 状态与用户模式；枚举 PK/KEK/db/dbx；评估 dbx 时效并比对官方吊销列表；用 CHIPSEC 检查 Secure Boot 变量与 S3 启动脚本保护；哈希并验签 ESP 中的 .efi 文件；比对已知恶意哈希；排查 bootkit 痕迹；可选读取 TPM PCR[7] 佐证。
使用方式（Linux）：安装 mokutil efitools sbsigntool dbxtool 与 chipsec；用 mokutil --sb-state 确认状态，efi-readvar 导出数据库，dbxtool --list 查看 dbx，dbxtool --dbx ./DBXUpdate.bin --apply --dry-run 预演更新；sudo chipsec_main -m common.secureboot.variables 与 common.uefi.s3bootscript 检查；find /boot/efi -iname '*.efi' -exec sha256sum {} ; 与 sbverify 验签。Windows 用 Confirm-SecureBootUEFI、Get-SecureBootUEFI。可运行 sudo python scripts/agent.py --check-chipsec --output secureboot_report.json 汇总报告。
适用场景：CVE-2023-24932/BlackLotus 通告后的资产核查、疑似失陷端点 bootkit 排查、验证 dbx 吊销是否全量生效、硬件安全评估中的固件完整性审计、建立启动链基线检查。
限制：需 root/管理员权限；CHIPSEC 写入/修改模式与 EFI 变量操作可能损坏硬件，破坏性检查仅限实验室；须在自有或明确授权系统上执行。具体价格、平台支持范围等资料未提供。