BareMetal RAM Dumper

Простой инструмент x86 bare-metal, предназначенный для загрузки с диска/USB и прямого дампа ОЗУ системы на загрузочный носитель. Он использует прерывания BIOS для загрузки и выполнения дисковых операций, а также переходит в unreal mode для доступа к памяти выше 1 МБ.

Предыстория: атаки холодной перезагрузки ❄️

Этот инструмент был изначально разработан и успешно протестирован для экспериментов с атаками холодной перезагрузки. Заморозив ОЗУ ноутбука (до -60°C) и быстро перезагрузившись с USB-накопителя, содержащего этот инструмент, можно сбросить содержимое замороженной памяти на диск до того, как данные распадутся, что позволяет извлечь конфиденциальную информацию, такую как ключи шифрования.

Особенности

• Пользовательский загрузчик: Загружается напрямую из BIOS (Legacy CSM). ОС не требуется.
• Unreal Mode: Временно переключается в unreal mode для доступа и чтения 32-битных физических адресов памяти.
• Разбор карты памяти: Использует BIOS INT 0x15 E820 для обнаружения допустимых областей ОЗУ и избегания дампа зарезервированной памяти или memory-mapped I/O.
• Прямая запись на диск: Использует BIOS INT 0x13 AH=0x43 (Extended Write) для прямой записи содержимого памяти обратно на загрузочный диск, начиная с LBA 64.

Как это работает

1. stage1.asm — это 512-байтовый загрузочный сектор. Он инициализирует сегментные регистры, настраивает стек и использует Extended Read (INT 0x13 AH=0x42) для загрузки stage2 из LBA 1 в память по адресу 0x8000. Затем он переходит к stage2.
2. stage2.asm выполняет основную логику:
   • Запрашивает у BIOS поддержку EDD (Enhanced Disk Drive).
   • Получает карту памяти с помощью INT 0x15 E820.
   • Вычисляет максимальный размер ОЗУ.
   • Проходит по ОЗУ блоками по 32 КБ.
   • Для каждого блока переключается в unreal mode, чтобы скопировать данные из старшей памяти в буфер в младшей памяти (0x90000).
   • Записывает 32-КБ блок на диск с помощью Extended Write, начиная с LBA 64.
   • Выводит на экран процент выполнения.

Предупреждение ⚠️

Этот инструмент записывает сырые данные непосредственно на загрузочный диск, начиная с сектора 64! Если вы запишете его на USB-накопитель, содержащий важные данные, дамп ОЗУ перезапишет всё, что находится на LBA 64 и далее. Используйте для этой цели выделенный пустой USB-флеш-накопитель.

Сборка

Для компиляции этого проекта потребуется установленный NASM.

В Windows запустите предоставленный скрипт сборки:

build.bat

В Linux вы можете выполнить:

nasm -f bin stage1.asm -o stage1.bin
nasm -f bin stage2.asm -o stage2.bin
cat stage1.bin stage2.bin > boot.bin

Использование

1. Соберите проект, чтобы получить boot.bin.
2. Запишите boot.bin на USB-накопитель (например, с помощью dd в Linux/macOS, или Rufus / Win32DiskImager в Windows).
   • Примечание: Убедитесь, что ваш USB-накопитель имеет достаточно места для размещения ОЗУ вашей системы.
   • Пример (Linux): sudo dd if=boot.bin of=/dev/sdX bs=512
3. Загрузите целевой ПК с USB-накопителя (убедитесь, что включена загрузка Legacy BIOS / CSM).
4. Дождитесь завершения дампа (будет показано 100%).