用于冷启动攻击实验的x86裸机内存转储工具

背景

在数字取证与安全研究领域，冷启动攻击（Cold Boot Attack）是一种经典的物理攻击技术。其原理是利用动态随机存取存储器（DRAM）在低温下数据保留时间延长的特性，通过物理冷却手段冻结内存芯片，然后快速重启系统，从外部介质（如USB驱动器）引导运行一个小型工具，在内存数据衰减之前将其完整转储到磁盘上。攻击者随后可从转储的内存中提取敏感信息，如磁盘加密密钥、会话凭证等。然而，实施此类实验需要专用的底层工具——能够直接与硬件交互、无需操作系统支持、且能访问物理内存地址的裸机程序。本文介绍的 BareMetal RAM Dumper 正是为此类实验而设计的 x86 裸机工具。

核心内容

BareMetal RAM Dumper 是一个简洁的 x86 裸机工具，设计目标是从磁盘/USB 直接引导，并将系统的随机存取存储器（RAM）内容完整写入引导介质。它完全依赖 BIOS 中断进行引导和磁盘操作，并切换至 unreal mode 以访问 1MB 以上的内存地址空间。

该工具最初是为了冷启动攻击实验而开发并成功测试的。其典型流程为：首先将笔记本电脑的 RAM 冻结至约 -60°C，然后快速从装有此工具的 USB 驱动器重启，在数据尚未衰减之前将冻结的内存内容转储到磁盘，从而提取加密密钥等敏感信息。

架构与工作流程

工具由两个汇编源文件构成：

1. stage1.asm —— 一个 512 字节的引导扇区。它初始化段寄存器，设置栈，并使用 BIOS 扩展读取功能（INT 0x13 AH=0x42）从 LBA 1 处将 stage2 加载到内存 0x8000 处，然后跳转执行 stage2。

2. stage2.asm —— 执行主逻辑：

   • 查询 BIOS 的 EDD（增强磁盘驱动）支持。
   • 通过 INT 0x15 E820 获取内存映射表，以识别有效的 RAM 区域，避免转储保留内存或内存映射 I/O（MMIO）。
   • 计算最大 RAM 大小。
   • 以 32KB 为块循环遍历 RAM。
   • 对每个块，临时切换到 unreal mode，将高位内存中的数据复制到低位内存缓冲区 0x90000 中。
   • 使用 BIOS 扩展写入功能（INT 0x13 AH=0x43）将 32KB 块直接写入引导盘，起始位置为 LBA 64。
   • 在屏幕上显示进度百分比。

重要提醒

该工具将原始数据直接写入引导盘的 第 64 扇区 开始的位置。如果将此工具写入包含重要数据的 USB 驱动器，RAM 转储会覆盖 LBA 64 及之后的所有内容。因此必须使用专用的空白 USB 闪存盘。

编译与使用方法

• 需要安装 NASM 汇编器。
• Windows 下运行提供的 build.bat 脚本。
• Linux 下依次执行：

  nasm -f bin stage1.asm -o stage1.bin
  nasm -f bin stage2.asm -o stage2.bin
  cat stage1.bin stage2.bin > boot.bin
  

• 生成 boot.bin 后，将其写入 USB 驱动器（Linux/macOS 可用 dd，Windows 可用 Rufus 或 Win32DiskImager）。注意 USB 驱动器空间应足够容纳系统 RAM 大小。
• Linux 示例命令：sudo dd if=boot.bin of=/dev/sdX bs=512
• 从 USB 驱动器引导目标 PC（需开启 Legacy BIOS / CSM 引导模式）。
• 等待转储完成（屏幕上显示 100%）。

关键要点

• 无需操作系统：工具从 BIOS 直接引导（Legacy CSM），不依赖任何操作系统或内核。
• Unreal Mode 技术：通过临时切换至 unreal mode，能够访问并读取 32 位物理内存地址（突破 1MB 限制）。
• 内存映射解析：使用 BIOS INT 0x15 E820 检测有效 RAM 区域，避免转储保留内存或 MMIO。
• 直接磁盘写入：利用 BIOS INT 0x13 AH=0x43（扩展写入）将内存数据直接写回引导盘，起始于 LBA 64。
• 分阶段引导：stage1 (512 字节引导扇区) 加载 stage2 (主逻辑)，stage2 负责查询 EDD、获取内存映射、逐块转换并写入。
• 块大小与缓冲区：以 32KB 为处理单元，使用低位内存缓冲区 0x90000 暂存数据，通过 unreal mode 跨段复制。
• 进度反馈：在屏幕上实时显示转储百分比。
• 数据覆盖警告：写入位置从 LBA 64 开始，会覆盖 USB 盘上的现有数据，必须使用专用空白盘。
• 编译依赖：需要 NASM 汇编器，支持 Windows/Linux 构建。
• 硬件要求：目标 PC 必须支持 Legacy BIOS / CSM 引导模式，且 USB 启动功能正常。

意义与影响

BareMetal RAM Dumper 作为一款开源、简单的 x86 裸机内存转储工具，为冷启动攻击实验提供了标准化、可复现的实验平台。其意义体现在以下方面：

• 安全研究与教育：研究者可以直观理解冷启动攻击的底层实现机制，包括 BIOS 中断、unreal mode、物理内存寻址等关键概念。该工具降低了入门门槛，无需编写复杂的内核驱动或修改操作系统。
• 硬件/固件漏洞验证：可用于测试不同品牌、型号计算机的内存数据保留特性，以及 BIOS/固件对冷启动攻击的防护能力（如是否支持内存加密、是否禁用 Legacy 引导等）。
• 取证与反取证技术：该工具也警示了物理安全的重要性——即使系统已关机，低温冻结内存仍可能泄露密钥。反过来，它也可用于评估内存加密（如 Intel TME、AMD SME）的实际保护效果。
• 开源生态贡献：项目以简洁的汇编代码展现了一个完整的裸机内存转储方案，可作为嵌入式系统、引导程序开发以及底层安全实验的参考资料。其模块化设计（stage1/stage2）也易于扩展。
• 局限性：仅支持 Legacy BIOS 引导，不兼容 UEFI 模式；对现代 DDR4/DDR5 内存的低温保留效果需实测；存在数据覆盖风险，需谨慎操作。

总体而言，BareMetal RAM Dumper 是冷启动攻击领域一个实用且教育价值极高的工具，为安全社区提供了宝贵的实验资源，同时也再次提醒业界重视物理内存保护机制。