这是一个创建于 107 天前的主题，其中的信息可能已经有所发展或是发生改变。
看了下别人视频，将被攻击的计算机插上 U 盘，主板选从 U 盘启动，U 盘里面引导直接就进入 RAM dump 程序，简单操作就将内存 dump 到 U 盘上了。再将 U 盘拿到自己的计算机，对 dump 的内存搜索 BitLocker 密钥或其他敏感信息。
如果担心对方主板有开机密码，那么拔掉内存，立刻插到自己设备上，再按上面步骤来。
对于笔记本这种有电池不容易断电，又喜欢用待机的人有奇效。
即使台式机不拔插头，进入 S3 待机模式内存也不会断电。现在 win10/11 的关机后电源模式似乎也与之前不同。感觉有可能是个隐患。
如何解决这个问题？
喜欢用待机的似乎没救（也许内存不可拆卸，加封锁 usb ，加主板密码增加难度）
用完关机的，似乎可以在 Linux 内核增加特定模块或者 Win 驱动，实现在关机时 wipe RAM 。
又或者在 EFI 中实现，例如关机前，先通过重启进入特定的 EFI 程序 wipe RAM ，然后再关机。
有没有现成的防范措施呢？
如果担心对方主板有开机密码，那么拔掉内存，立刻插到自己设备上，再按上面步骤来。
对于笔记本这种有电池不容易断电，又喜欢用待机的人有奇效。
即使台式机不拔插头，进入 S3 待机模式内存也不会断电。现在 win10/11 的关机后电源模式似乎也与之前不同。感觉有可能是个隐患。
如何解决这个问题？
喜欢用待机的似乎没救（也许内存不可拆卸，加封锁 usb ，加主板密码增加难度）
用完关机的，似乎可以在 Linux 内核增加特定模块或者 Win 驱动，实现在关机时 wipe RAM 。
又或者在 EFI 中实现，例如关机前，先通过重启进入特定的 EFI 程序 wipe RAM ，然后再关机。
有没有现成的防范措施呢？
8 条回复
 |
1
processzzp 107 天前  1
微软给出过一些指导意见： https://learn.microsoft.com/zh-cn/windows/security/operating-system-security/data-protection/bitlocker/countermeasures
你还可以购买符合 Secured-core 要求的 PC： https://www.microsoft.com/en-us/windows/business/windows-11-secured-core-computers 这些都是现成的防范措施 |
 |
2
busier OP @processzzp OK
|
 |
3
ibcker 106 天前
换 mac 呢？
|
 |
4
ekucn 106 天前
开 BitLocker 不开 Secure boot ，资料被盗了怪谁。
开了 Secure boot 你 u 盘根本无法引导 |
|
5
busier OP @ekucn
冷启动攻击先决条件就是取得物理控制权 取得物理控制权之后，不是 Secure boot 能拦截的了的，开了也只是增加点麻烦而已 拆下转储备份受害者硬盘，依旧用受害者的硬盘和 bootmgr 引导器引导，bcd 配置指向黑客自定义的 os 来启动操作 dump 内存。 当然，能拆内存还是降温拆内存来得更加方便 |
|
6
ekucn 105 天前
@busier 你根本就没搞清 Secure boot 干啥的，
你那个 u 盘根本没证书，如何启动？你有物理权限又如何，谁给你签发证书？ BitLocker 又会验证上层证书，你拆下来根本没法引导。 你还是了先解下 XBOX ONE 到现在也没被破解的原因吧。 那物理机子可是实打实在你手里。我感觉你完全没了解技术细节 |
|
8
busier OP 就不要用 XBOX 来偷换概念了。对于 PC 来说，都有物理控制权了，操作主板关闭 Secure boot 也不是难事。
对 Win 来说，有 Secure boot 在引导过程会对硬盘 EFI 分区的 BootMgr 校验签名，BootMgr 之后 BCD 去不去引导那个 BitLocker 分区系统又不归 Secure boot 管，举个最简单的例子就是即使你有 Secure boot ，WinRE 可以引导起来。那么，摘掉你硬盘加个 WinRE/PE 进去，在 PE 里面搞事情，Secure boot 管的着么。 再说目的只是 dump 内存，干嘛非得跟 secure boot 较劲。还不如降温拆内存来得更加方便 |
Select Language