BareMetal RAM Dumper

ディスク/USBから起動し、システムのRAMを直接起動メディアにダンプするように設計されたシンプルなx86ベアメタルツールです。起動とディスク操作にBIOS割り込みを利用し、1MBバリア以上のメモリにアクセスするためにアンリアルモードに移行します。

背景: コールドブート攻撃 ❄️

このツールはもともとコールドブート攻撃の実験のために開発され、正常にテストされました。ラップトップのRAMを（-60°Cまで）凍結し、このツールを含むUSBドライブから素早く再起動することで、データが消失する前に凍結したメモリ内容をディスクにダンプし、暗号化キーなどの機密情報を抽出することが可能になります。

機能

• カスタムブートローダー: BIOS（レガシーCSM）から直接起動します。OSは不要です。
• アンリアルモード: 一時的にアンリアルモードに切り替えて、32ビットの物理メモリアドレスにアクセスして読み取ります。
• メモリマップ解析: BIOS INT 0x15 E820 を使用して有効なRAM領域を検出し、予約済みメモリやメモリマップドI/Oのダンプを回避します。
• 直接ディスク書き込み: BIOS INT 0x13 AH=0x43（拡張書き込み）を使用して、メモリ内容をLBA 64からブートドライブに直接書き込みます。

動作の仕組み

1. stage1.asm は512バイトのブートセクタです。セグメントレジスタを初期化し、スタックを設定し、拡張読み取り（INT 0x13 AH=0x42）を使用してLBA 1からstage2をメモリ0x8000にロードします。その後、stage2にジャンプします。
2. stage2.asm はメインロジックを実行します:
   • BIOSにEDD（Enhanced Disk Drive）サポートを問い合わせます。
   • INT 0x15 E820を使用してメモリマップを取得します。
   • 最大RAMサイズを計算します。
   • RAMを32KBチャンクでループします。
   • 各チャンクについて、アンリアルモードに切り替えて、ハイメモリからローメモリバッファ（0x90000）にデータをコピーします。
   • 拡張書き込みを使用して、32KBチャンクをLBA 64からディスクに書き込みます。
   • 画面に進行状況のパーセンテージを表示します。

警告 ⚠️

このツールは、セクタ64から始まるブートドライブに生データを直接書き込みます！ これを重要なデータが含まれているUSBドライブに書き込むと、RAMダンプはLBA 64以降に存在するものを上書きします。この目的には専用の空のUSBフラッシュドライブを使用してください。

ビルド

このプロジェクトをコンパイルするには、NASMをインストールする必要があります。

Windowsでは、提供されたビルドスクリプトを実行してください:

build.bat

Linuxでは、以下を実行できます:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

使用方法

1. プロジェクトをビルドしてboot.binを生成します。
2. boot.binをUSBドライブに書き込みます（例：Linux/macOSではdd、WindowsではRufus / Win32DiskImagerを使用）。
   • 注: USBドライブにシステムのRAMを保持するのに十分な空き容量があることを確認してください。
   • 例 (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. ターゲットPCをUSBドライブから起動します（レガシーBIOS / CSMブートが有効になっていることを確認）。
4. ダンプが完了するまで待ちます（100%と表示されます）。