BareMetal RAM Dumper

Un semplice strumento bare-metal x86 progettato per avviarsi da un disco/USB e scaricare la RAM del sistema direttamente sul supporto di avvio. Si basa sugli interrupt del BIOS per avviarsi ed eseguire operazioni su disco, e entra in unreal mode per accedere alla memoria oltre la barriera di 1 MB.

Contesto: Attacchi Cold Boot ❄️

Questo strumento è stato originariamente sviluppato e testato con successo per sperimentare con Attacchi Cold Boot. Congelando la RAM di un laptop (fino a -60°C) e riavviando rapidamente da un'unità USB contenente questo strumento, è possibile scaricare il contenuto della memoria congelata sul disco prima che i dati decadano, consentendo l'estrazione di informazioni sensibili come chiavi di crittografia.

Caratteristiche

• Bootloader personalizzato: Si avvia direttamente dal BIOS (Legacy CSM). Nessun sistema operativo richiesto.
• Unreal Mode: Passa temporaneamente all'unreal mode per accedere e leggere indirizzi di memoria fisica a 32 bit.
• Parsing della Memory Map: Utilizza il BIOS INT 0x15 E820 per rilevare regioni RAM valide ed evitare di scaricare memoria riservata o memoria mappata I/O.
• Scrittura diretta su disco: Utilizza il BIOS INT 0x13 AH=0x43 (Extended Write) per scrivere i contenuti della memoria direttamente sul disco di avvio a partire da LBA 64.

Come funziona

1. stage1.asm è un settore di boot di 512 byte. Inizializza i registri di segmento, imposta lo stack e utilizza la lettura estesa (INT 0x13 AH=0x42) per caricare stage2 da LBA 1 in memoria all'indirizzo 0x8000. Quindi salta a stage2.
2. stage2.asm esegue la logica principale:
   • Interroga il BIOS per il supporto EDD (Enhanced Disk Drive).
   • Ottiene la mappa di memoria utilizzando INT 0x15 E820.
   • Calcola la dimensione massima della RAM.
   • Itera attraverso la RAM in blocchi di 32 KB.
   • Per ogni blocco, passa all'unreal mode per copiare i dati dalla memoria alta in un buffer di memoria bassa (0x90000).
   • Scrive il blocco di 32 KB su disco utilizzando la scrittura estesa, a partire da LBA 64.
   • Stampa una percentuale di avanzamento sullo schermo.

Avvertenza ⚠️

Questo strumento scrive dati grezzi direttamente sul disco di avvio a partire dal settore 64! Se scrivi questo su un'unità USB contenente dati importanti, il dump della RAM sovrascriverà tutto ciò che è presente a LBA 64 e oltre. Utilizza una chiavetta USB dedicata e vuota per questo scopo.

Compilazione

Avrai bisogno di NASM installato per compilare questo progetto.

Su Windows, esegui lo script di build fornito:

build.bat

Su Linux, puoi eseguire:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

Utilizzo

1. Compila il progetto per generare boot.bin.
2. Scrivi boot.bin su un'unità USB (ad esempio usando dd su Linux/macOS, o Rufus / Win32DiskImager su Windows).
   • Nota: Assicurati che la tua unità USB abbia spazio sufficiente per contenere la RAM del sistema.
   • Esempio (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. Avvia il PC di destinazione dall'unità USB (assicurati che l'avvio Legacy BIOS / CSM sia abilitato).
4. Attendi il completamento del dump (mostrerà 100%).