BareMetal RAM Dumper

أداة بسيطة تعمل على المعدن العاري (bare-metal) لمعمارية x86، صُممت للإقلاع من قرص/USB وتفريغ ذاكرة الوصول العشوائي (RAM) للنظام مباشرةً إلى وسيط الإقلاع. تعتمد هذه الأداة على مقاطعات BIOS للإقلاع وتنفيذ عمليات القرص، وتدخل إلى الوضع غير الحقيقي (unreal mode) للوصول إلى الذاكرة فوق حاجز 1 ميجابايت.

الخلفية: هجمات الإقلاع البارد ❄️

طُوّرت هذه الأداة أصلاً واختُبرت بنجاح لتجربة هجمات الإقلاع البارد. من خلال تجميد ذاكرة الوصول العشوائي للابتوب (حتى -60 درجة مئوية) وإعادة الإقلاع بسرعة من محرك USB يحتوي على هذه الأداة، يمكن تفريغ محتويات الذاكرة المجمّدة إلى القرص قبل أن تتحلل البيانات، مما يسمح باستخراج معلومات حساسة مثل مفاتيح التشفير.

المميزات

• مُحمّل إقلاع مخصص: يُقلع مباشرةً من BIOS (Legacy CSM). لا حاجة لنظام تشغيل.
• الوضع غير الحقيقي: يتحول مؤقتاً إلى الوضع غير الحقيقي للوصول إلى عناوين الذاكرة الفعلية 32 بت وقراءتها.
• تحليل خريطة الذاكرة: يستخدم مقاطعة BIOS INT 0x15 E820 لاكتشاف مناطق RAM الصالحة وتجنب تفريغ الذاكرة المحجوزة أو الذاكرة المعينة للإدخال/الإخراج (memory-mapped I/O).
• الكتابة المباشرة على القرص: يستخدم مقاطعة BIOS INT 0x13 AH=0x43 (الكتابة الموسعة) لكتابة محتويات الذاكرة مباشرةً إلى محرك الإقلاع ابتداءً من القطاع LBA 64.

آلية العمل

1. stage1.asm هو قطاع إقلاع بحجم 512 بايت. يقوم بتهيئة سجلات القطاعات، وإعداد المكدس، واستخدام القراءة الموسعة (INT 0x13 AH=0x42) لتحميل stage2 من القطاع LBA 1 إلى الذاكرة في العنوان 0x8000. ثم يقفز إلى stage2.
2. stage2.asm ينفذ المنطق الرئيسي:
   • يستعلم BIOS عن دعم EDD (Enhanced Disk Drive).
   • يحصل على خريطة الذاكرة باستخدام INT 0x15 E820.
   • يحسب الحجم الأقصى لذاكرة RAM.
   • يتكرر عبر الذاكرة بمقاطع بحجم 32 كيلوبايت.
   • لكل مقطع، يتحول إلى الوضع غير الحقيقي لنسخ البيانات من الذاكرة العالية إلى مخزن مؤقت في الذاكرة المنخفضة (0x90000).
   • يكتب مقطع الـ 32 كيلوبايت إلى القرص باستخدام الكتابة الموسعة، ابتداءً من القطاع LBA 64.
   • يعرض نسبة التقدم على الشاشة.

تحذير ⚠️

هذه الأداة تكتب بيانات خام مباشرةً إلى محرك الإقلاع ابتداءً من القطاع 64! إذا قمت بكتابتها على محرك USB يحتوي على بيانات مهمة، فإن تفريغ RAM سيحل محل أي شيء موجود في LBA 64 وما بعده. استخدم محرك أقراص USB فارغاً ومخصصاً لهذا الغرض.

البناء

ستحتاج إلى تثبيت NASM لتجميع هذا المشروع.

على نظام Windows، شغّل سكريبت البناء المرفق:

build.bat

على نظام Linux، يمكنك تشغيل:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

الاستخدام

1. ابنِ المشروع لإنشاء الملف boot.bin.
2. اكتب boot.bin إلى محرك USB (مثلاً باستخدام dd على Linux/macOS، أو Rufus / Win32DiskImager على Windows).
   • ملاحظة: تأكد من أن سعة محرك USB كافية لاحتواء ذاكرة النظام.
   • مثال (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. قم بإقلاع الجهاز المستهدف من محرك USB (تأكد من تفعيل Legacy BIOS / CSM boot).
4. انتظر حتى يكتمل التفريغ (سيظهر 100%).