Intel芯片组驱动解包

Intel的芯片组驱动无法直接使用7-Zip解压。为了提取里面的驱动，我们需要使用其他的方法。本文将为大家介绍。其实也算一个Misc的Write-up。

7-Zip直接右键打开exe

思路

首先我们需要弄清楚这个exe是怎么打包的。

这里我们先尝试使用 DIE (Detect It Easy) ，启动DIE，将 CHIPSET_Intel_v10.1.20658.8883.exe 拖进去。

然而并没有扫描出有效信息，说明是Intel自己写的打包器。

DIE扫描结果

但这并不代表没有办法提取，因为这个驱动最终是会被释放出来的，只要他能释放出来就有办法解包。

7z大法好

7-Zip正常情况是不直接支持exe的，但是为什么能打开查看呢？

相当于7-Zip会自动尝试各种方法去匹配、解析文件的结构。那我们换个方式是不是就可以了呢？

这边可以使用7-Zip的右键菜单选择打开方式。

7-Zip右键菜单

其实这个参数就是命令行的 -t ，可以按 F1 进入 CHM 找到帮助。

7-Zip帮助

这里我们尝试使用这些方式打开，最终发现 #:e 方式打开，有两处偏移都可以找到驱动的压缩包，压缩方式是zip，大小都一样：

7-Zip打开exe结构

最终我们可以直接将驱动解压出来。

驱动压缩包内容

binwalk一把梭

使用Rust🦀包管理器安装（需要提前配置Rust环境）：

1
cargo install binwalk

然后使用-e参数提取：

1
binwalk -e .\CHIPSET_Intel_vxxxx.exe

执行结果：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
> binwalk -e .\CHIPSET_Intel_v10.1.20658.8883.exe
...
------------------------------------------------------------------------------------------------------------------------
[-] Extraction of cab data at offset 0x332790 failed!
[+] Extraction of jpeg data at offset 0x5003F0 completed successfully
[+] Extraction of jpeg data at offset 0x64FB70 completed successfully
[+] Extraction of zip data at offset 0x7A44F0 completed successfully
[+] Extraction of jpeg data at offset 0xB48FF0 completed successfully
[+] Extraction of jpeg data at offset 0xC98770 completed successfully
[+] Extraction of zip data at offset 0xDED0F0 completed successfully
[+] Extraction of 7zip data at offset 0x1237D18 completed successfully
------------------------------------------------------------------------------------------------------------------------

Analyzed 1 file for 85 file signatures (187 magic patterns) in 5.4 seconds

然后进入 extractions\CHIPSET_Intel_v10.1.20658.8883.exe.extracted 文件夹，应该就能找到

解压结果

那两个文件夹使用文件比较工具对比，一模一样。

文件对比

有懒人的方法，为啥先讲7-Zip呢？因为实际情况下，我们可能连网都有求不起，刚好机器上带着个7-Zip，那就能提取。所以在这个场景下，7-Zip适用于大部分情况。如果使用7-Zip出现困难，则可以转到binwalk。当然，也可以上AI辅助。

样本

之前不好找，现在Intel官网就能下载到芯片组驱动。

https://www.intel.cn/content/www/cn/zh/download/19347/chipset-inf-utility.html

Intel官网驱动