用途：针对固件/引导套件持久化（MITRE ATT&CK T1542.003）进行主动威胁狩猎，或在攻击者取得 SYSTEM/root 后排查低于操作系统的持久化，也可用于验证 Secure Boot 状态与引导链完整性、定期比对 ESP 黄金基线、排查 TPM 度量启动（PCR）不匹配的主机。
主要能力：只读挂载并枚举 ESP；清点所有 EFI 二进制并计算 SHA-256；用 sbverify/pesign 校验引导加载程序的 Secure Boot 签名；与可信黄金基线比对发现带外变更；用 YARA 规则扫描已知引导套件特征；检查 efibootmgr 启动项与 dbx 吊销哈希；读取 TPM PCR 0/2/4 与 TCG 事件日志验证度量启动；取证镜像保存证据。
必要用法：需管理员/root 权限。Linux 上安装工具：sudo apt-get update；sudo apt-get install -y sbsigntool pesign efitools efibootmgr binwalk yara；pip install pefile。只读挂载：sudo mount -o ro,umask=077 /dev/sda1 /mnt/esp。哈希清点：find /mnt/esp -type f ( -iname '.efi' -o -iname '.sys' ) -print0 | xargs -0 sha256sum。签名校验：sbverify --list、efi-readvar -v db、pesign -S -i。YARA 扫描：yara -r -w bootkit_rules.yar /mnt/esp/。启动项：sudo efibootmgr -v；mokutil --sb-state。TPM：sudo tpm2_pcrread sha256:0,2,4,7。Windows 目标可用 WinPE/取证引导环境或 Velociraptor 的 Windows.Forensics.UEFI。
适用场景：固件/引导套件主动狩猎、事件响应中的持久化排查、Secure Boot 姿态验证、ESP 完整性周期检查、度量启动异常主机分诊。
限制：需提权；需预先构建可信黄金基线；YARA 规则需自行从 YARA-Rules、Eclypsium/Binarly、ESET 等来源获取；TPM 校验仅在存在 TPM 时可用；资料未提供具体收费、价格或平台支持范围。