用途：分析固件镜像中的嵌入式恶意软件、后门和未授权修改，适用于路由器、IoT 设备、UEFI/BIOS 和嵌入式系统。不适用于常规操作系统层面的恶意软件，后者应使用 PE/ELF 分析工具。
主要能力：使用 binwalk 识别并提取固件中的文件系统与压缩数据；分析 SquashFS 等嵌入式文件系统，查找可疑脚本、SUID 二进制、硬编码凭据、未授权 SSH 密钥和反向 shell；用 Ghidra、radare2 逆向 ARM/MIPS/x86 二进制；用 UEFITool 和 chipsec 解析与评估 UEFI/BIOS 固件，检测 LoJax、BlackLotus 等已知 UEFI 恶意软件；用 QEMU、firmadyne 仿真固件进行动态分析；输出包含 IOC 与修复建议的分析报告。
必要用法：先安装 binwalk（pip install binwalk），准备 Ghidra、UEFITool、chipsec、firmadyne、QEMU 及交叉编译工具链。典型流程为：binwalk firmware.bin 识别结构，binwalk -e firmware.bin 提取组件，unsquashfs 展开文件系统，检查启动脚本与凭据，对可疑 ELF 做 strings、哈希比对和逆向，UEFI 固件用 UEFIExtract 或 chipsec 分析，必要时用 QEMU 仿真并抓包。
适用场景：路由器或 IoT 设备反复出现异常行为、怀疑固件级持久化；调查跨系统重装仍存在的 UEFI/BIOS rootkit；分析固件更新是否被供应链篡改；验证固件完整性。
限制：需要从实际设备转储固件，厂商网站下载的通常是干净版本；需注意备份分区、共享库钩子和主文件系统之外的修改；仿真环境可能无法完全复现硬件行为。具体工具版本、平台兼容性和授权信息暂未提供。