analyzing-uefi-bootkit-persistence
作者 mukul975analyzing-uefi-bootkit-persistence 用于调查 UEFI 级持久化，包括 SPI flash 植入、ESP 篡改、Secure Boot 绕过以及可疑的 UEFI 变量变更。它面向固件初筛、事件响应，以及用于 Security Audit 的 analyzing-uefi-bootkit-persistence 分析，提供实用、以证据为导向的指导。
该技能得分 78/100，说明它很适合需要聚焦 UEFI bootkit 持久化分析流程的目录用户。仓库提供了足够具体的分析指引、工具参考和防御性使用框架，能让代理在触发时比通用网络安全提示更少依赖猜测；不过，用户仍需为具体实现做一定适配。
- 触发性强：描述和“When to Use”部分明确指向 UEFI 恶意代码分析、固件持久化调查、Secure Boot 绕过检测以及启动链完整性验证。
- 操作深度足：正文内容较充实，既有面向流程的说明，也包含代码示例和一个用于 chipsec SPI flash 与 UEFI 变量操作的参考文件。
- 便于代理调用：附带的 Python 分析脚本以及已知 bootkit 特征/IOC 为固件初筛与检测提供了具体可用的素材。
- SKILL.md 中没有安装命令，因此用户可能需要手动将该技能接入工作流。
- 该仓库看起来更偏向防御性分析，而不是开箱即用的端到端工具链，所以某些场景仍需要外部固件访问、chipsec 环境配置或分析师判断。
analyzing-uefi-bootkit-persistence 技能概览
这个技能能做什么
analyzing-uefi-bootkit-persistence 技能帮助你排查 UEFI 级持久化，包括 SPI flash 植入、EFI System Partition（ESP）篡改、Secure Boot 绕过行为，以及可疑的 UEFI 变量变更。它最适合事件响应人员、固件安全审查人员，以及开展 analyzing-uefi-bootkit-persistence for Security Audit 相关工作的防御团队。
最适合谁
当系统在重新镜像后仍反复被入侵、Secure Boot 状态看起来不对，或者怀疑存在早期启动阶段恶意代码时，就该用这个技能。它非常适合固件初筛、终端加固审查，以及启动链完整性检查——这些场景下，普通恶意软件提示往往太浅，给不出足够判断依据。
它的不同之处
这个 analyzing-uefi-bootkit-persistence 技能不只是罗列 bootkit 名称。它更关注真实调查里最关键的决策点：持久化到底落在哪、先看哪些证据、以及如何在不靠猜测的前提下验证固件和 ESP 的完整性。
如何使用 analyzing-uefi-bootkit-persistence 技能
安装与激活
使用技能对应的 repo 路径安装：npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill analyzing-uefi-bootkit-persistence。当你的任务提到 UEFI 恶意代码分析、启动链完整性、Secure Boot 绕过检测，或固件持久化排查时，就启用这个技能。
给技能提供正确输入
好的 analyzing-uefi-bootkit-persistence usage 从具体上下文开始，而不是一句笼统的“帮我看看这台机器”。请提供平台信息、固件访问权限、你手上是在线系统还是只有 dump、Secure Boot 状态、已知症状，以及你已经收集到的 hash、路径或变量名。输入越扎实，初筛结果越有用。
能产出有效结果的工作流
先看 SKILL.md 了解执行顺序，再看 references/api-reference.md 获取可用的 chipsec 命令，最后查看 scripts/agent.py，理解检测逻辑和已知 bootkit 指标。如果你要改造这个技能，流程也要尽量保持一致：先确认范围，再检查固件，审查 ESP 证据，核对 Secure Boot 和 UEFI 变量，最后把结果和已知持久化模式逐一对照。
有效的提问方式
给 analyzing-uefi-bootkit-persistence 指南的提问应当具体且有边界，例如：“分析这个 SPI dump 和 ESP 快照，判断是否存在 UEFI 持久化，说明 Secure Boot 控制是否被改动，并列出 IR 报告需要的下一步验证。”如果你还没有 dump，应该先要一份采集方案，而不是直接要求结论。
analyzing-uefi-bootkit-persistence 技能 FAQ
这个技能只适合高级分析师吗？
不算。只要你已经知道自己需要做固件方向的初筛，analyzing-uefi-bootkit-persistence 技能对新手也能用。真正的学习门槛主要在证据处理：你需要合适的 dump、正确的分区数据，以及足够的环境信息，才能避免误判。
它和普通提示词有什么区别？
普通提示词往往只能泛泛描述 UEFI 持久化。这个技能更适合你需要可重复工作流、工具感知型指导，以及对 SPI flash 分区、ESP 修改、Secure Boot 变量和 bootkit 指标等证据做更细致判断的时候。
什么时候不该用？
如果你是在做通用终端恶意软件排查、标准 Windows 持久化分析，或者只是普通启动故障而没有任何固件信号，就不该用它。若你的证据只有用户态日志或一个可疑文件，这个技能大概率太专门，价值有限。
它适合 Security Audit 流程吗？
适合，尤其是在你需要对启动链控制、固件基线和 Secure Boot 配置做可辩护审查时。对于 analyzing-uefi-bootkit-persistence for Security Audit 场景，它在配合固件 dump、基线对比和记录完整的采集步骤时，价值最高。
如何改进 analyzing-uefi-bootkit-persistence 技能
提供证据，而不只是怀疑
最有价值的结果来自具体工件：SPI 镜像、ESP 文件列表、Secure Boot 状态、UEFI 变量输出，以及可疑 EFI 二进制的 hash。只说“我觉得这是个 bootkit”，分析就会停留在泛泛层面；如果你给出明确数据，技能才能更准确地收窄可能的持久化路径。
说明到底发生了什么变化
请明确问题是否发生在重装系统、换硬盘、BIOS 更新或切换 Secure Boot 之后。这些细节有助于区分固件持久化和仅限磁盘的篡改，也能让 analyzing-uefi-bootkit-persistence skill 的判断更果断。
一次只要一种输出
如果你同时需要 IR 备注、验证清单和技术解释，最好分开提问。这个技能在每一轮只交付一种结果时最有效，然后你再结合后续证据继续追问、迭代。
注意常见失败模式
最大的错误，是在证据不完整时过早下结论，把持久化说得太满。另一个常见问题，是把所有 EFI 修改都当成恶意行为。要改进 analyzing-uefi-bootkit-persistence install 和使用体验，就应要求它给出置信度、替代解释，以及能最终确认或排除固件被入侵的具体检查项。