搜索

[12249] 2018-01-17_从理论层面谈Meltdown与Spectre攻击核武按钮终被劫持？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-01-17_从理论层面谈Meltdown与Spectre攻击核武按钮终被劫持？ 从 理 论 层 面 谈 M e l t d o w n 与 S p e c t r e 攻 击   |   核 武 按 钮 终 被 劫 持 ？ F r e e B u f   2 0 1 8 - 0 1 - 1 7 以 下 文 章 来 源 于 爱 活 网   ， 作 者 欧 阳 洋 葱 地 球 上 有 没 有 一 种 安 全 漏 洞 ， 广 泛 存 在 于 各 种 计 算 设 备 之 中 ， 并 且 难 以 被 检 测 ， 难 以 被 修 复 ？ 在 地 球 上 有 没 有 一 种 安 全 漏 洞 ， 广 泛 存 在 于 各 种 计 算 设 备 之 中 ， 并 且 难 以 被 检 测 ， 难 以 被 修 复 ？ 在 2 0 1 8 年 的 第 一 年 的 第 一 个 月 里 ， 个 月 里 ， M e l t d o w n   与 与   S p e c t r e   两 大 处 理 器 安 全 漏 洞 给 出 了 这 个 问 题 的 部 分 答 案 。 两 大 处 理 器 安 全 漏 洞 给 出 了 这 个 问 题 的 部 分 答 案 。 边 信 道 攻 击 进 入 热 核 时 代 边 信 道 攻 击 进 入 热 核 时 代 信 息 安 全 行 业 有 一 类 很 高 端 的 攻 击 方 法 ， 叫 做 边 信 道 攻 击 （ s i d e   c h a n n e l ， 也 有 译 作 侧 信 道 攻 击 ， 或 旁 路 攻 击 的 ） ， 听 着 就 感 觉 很 高 级 有 没 有 。 这 种 攻 击 出 现 于 上 世 纪   9 0   年 代 ， 以 色 列 的 高 等 学 府 似 乎 经 常 研 制 边 信 道 攻 击 的 奇 技 淫 巧 — — 所 谓 的 边 信 道 ， 就 是 不 从 正 面 进 攻 ， 而 是 从 侧 面 窃 取 或 传 递 信 息 的 方 式 ， 比 如 利 用 设 备 运 行 时 产 生 的 电 磁 辐 射 ， 或 者 电 流 导 致 的 机 械 波 动 噪 声 ， 来 分 析 破 解 出 密 钥 ， 甚 至 还 能 利 用 散 热 风 扇 产 生 的 噪 声 、 机 箱 上 的   L E D   灯 闪 烁 变 化 来 将 信 息 传 出 。 许 多 边 信 道 攻 击 条 件 都 非 常 苛 刻 ， 而 且 攻 击 噪 声 比 较 大 ， 情 报 获 取 的 正 确 率 有 时 很 堪 忧 ， 所 以 边 信 道 攻 击 在 此 之 前 只 有   2 0 1 6   年 精 妙 的   L i n u x   T C P   漏 洞 （ C V E - 2 0 1 6 - 5 6 9 6 ） 造 成 广 泛 的 影 响 [ 1 ] 。 如 果 将 各 种 漏 洞 比 作 攻 击 武 器 ， 那   L i n u x   T C P   漏 洞 之 前 的 各 种 边 信 道 攻 击 类 似 冷 兵 器 — — 致 命 但 难 以 造 成 广 泛 破 坏 。 L i n u x   T C P   漏 洞 攻 击 思 路 则 将 边 信 道 攻 击 水 平 提 升 到 了 热 兵 器 时 代 ， 1   年 之 后 ， M e l t d o w n   和   S p e c t r e   漏 洞 正 式 开 启 了 热 核 时 代 （ 即 便 边 信 道 攻 击 本 身 严 格 意 义 上 并 不 需 要 漏 洞 的 介 入 ） 。 核 武   M e l t d o w n （ 熔 断 ） 和   S p e c t r e （ 幽 灵 ） 尽 管 只 有 两 个 名 字 ， 但 却 包 含 了   3   个 漏 洞 分 别 是   C V E - 2 0 1 7 - 5 7 5 3 / 5 7 1 5 / 5 7 5 4   [ 2 ] ） 。 理 论 上 将 影 响 一 切 现 代 处 理 器 ， 借 助 这 三 个 漏 洞 ， 黑 客 能 窃 取 信 息 ， 比 如 你 的 密 码 、 个 人 敏 感 数 据 ， 甚 至 拿 下 整 个 内 核 地 址 空 间 ； 运 行 个 极 为 隐 蔽 的 恶 意 程 序 ， 或 者 点 个 网 址 链 接 ， 就 能 让 你 的 信 息 泄 露 。 由 于 漏 洞 存 在 于 硬 件 层 面 ， 因 此 杀 毒 软 件 和 个 人 防 火 墙 很 难 对 攻 击 进 行 检 测 ， 遑 论 防 护 。 截 至   2 0 1 8   年   1   月   1 0   日 ， 包 括   I n t e l 、 高 通 、 A p p l e 、 N V I D I A 、 A R M   均 承 认 旗 下 处 理 器 受   M e l t d o w n   和   S p e c t r e   两 个 漏 洞 影 响 。 I n t e l   受 伤 最 深 ， 从   2 5   年 前   P e n t i u m   7 5 M H z   开 始 全 部 中 招 ， 就 连 体 系 架 构 完 全 不 同 的   I t a n i u m 、 X e o n 爱 活 网 爱 活 网   . 爱 活 网 是 中 国 领 先 的 科 技 生 活 网 站 ， 坚 持 用 独 特 新 鲜 的 角 度 和 生 活 的 态 度 解 构 各 种 数 码 产 品 、 科 技 酷 玩 、 生 活 方 式 ， 关 注 消 费 升 级 ， 倡 导 用 科 技 进 化 生 活 。
P h i   都 无 法 幸 免 。 高 通 和   A R M   则 确 认 所 有 带 有   O o O （ 不 是 表 情 符 号 ， O u t   o f   O r d e r   乱 序 执 行 ） 的   A R M   架 构 都 受 到 影 响 。 相 比 之 下 ， N V I D I A   则 幸 运 得 多 ， 旗 下 的   G P U   只 受 到   S p e c t r e   漏 洞 影 响 ， 而 对   M e l t d o w n   免 疫 。 至 于   A M D 处 理 器 和 其 他 处 理 器 指 令 集 结 构 （ I S A ） 如   M I P S 6 4 、 A L P H A   等 ， 我 们 认 为 其 有 可 能 对   M e l t d o w n   免 疫 ， 但 大 概 率 存 在   S p e c t r e   漏 洞 — — 大 量 企 业 级 、 电 信 级 路 由 器 防 火 墙 都 使 用   C a v i u m   基 于   M I P S 6 4   I S A   的   S o C ， 不 少 超 算 包 括 太 湖 之 光 都 使 用 了   A L P H A   I S A 。 热 核 攻 击 ， 从 缓 存 开 始 热 核 攻 击 ， 从 缓 存 开 始 早 在   2 0 1 3   年 ， 就 有 人 根 据   I n t e l   处 理 器 的 三 级 缓 存 架 构 提 出 了 专 门 的 缓 存 攻 击 思 路 ， 并 将 此 攻 击 思 路 命 名 为 F L U S H + R E L O A D 。 这 种 思 路 利 用 了 现 代 处 理 器 线 程 之 间 共 享 缓 存 的 设 计 ， 通 过 冲 刷 和 重 载 来 实 现 目 标 线 程 的 劫 持 和 攻 击 。 简 单 地 说 ， 现 代 处 理 器 内 执 行 的   N   个 线 程 就 相 当 于 一 幢 楼 中 每 个 使 用 自 来 水 的 家 庭 ， 缓 存 就 像 大 家 共 用 一 个 自 来 水 水 箱 。 如 果 其 中 一 个 家 庭 在 水 箱 中 投 毒 ， 将 会 导 致 所 有 家 庭 都 中 毒 。 现 代 处 理 器 的   C a c h e   本 质 上 是   S R A M ， 也 需 要 持 续 的 冲 刷 ， 这 给 此 类 攻 击 制 造 了 大 量 机 会 。 这 次 有 关   M e l t d o w n   攻 击 和   S p e c t r e   攻 击 ， 美 国 几 家 学 府 和 安 全 公 司 的 研 究 人 员 共 同 发 布 了 两 篇 技 术   p a p e r ， 这 两 篇 论 文 均 提 到 了 上 述   F L U S H   +   R E L O A D   的 攻 击 方 案   [ 3 ] 。 当 代 操 作 系 统 有 个 特 性 叫   p a g e   s h a r i n g ， 就 是 不 同 的 进 程 可 以 进 行 主 内 存 的 共 享 。 P a g e   s h a r i n g   的 价 值 主 要 在 于 两 个 联 合 运 行 的 进 程 通 讯 更 方 便 ， 还 能 减 少 内 存 占 用 。 本 质 上 这 是 一 种 内 存 复 用 的 思 路 ， 这 种 基 于 内 容 的   p a g e   s h a r i n g   用 于 在 进 程 执 行 和 使 用 共 享 库 时 ， 可 执 行 文 件 正 文 段 的 共 享 。 而 且 不 止 是 操 作 系 统 ， 如 今 的 主 流 虚 拟 化   H y p e r v i s o r   其 实 也 用 这 套 方 案 。 比 如 云 计 算 技 术 中 普 遍 采 用 的   d e - d u p l i c a t i o n ， 就 是 不 同 虚 拟 主 机 共 享 一 个 内 存 模 块 的 技 术 ， 也 是 同 理 — — 像   V M w a r e   E S X 、 P o w e r V M   之 类 的   h y p e r v i s o r   都 是 支 持 的 。 系 统 对 于 共 享   p a g e   的 映 射 ， 采 用   c o p y - o n - w r i t e （ C O W ）   的 方 案 — — 就 是 对 改 动 的 数 据 延 后 写 入 到 内 存 中 ， 这 也 是 F L U S H + R E L O A D   攻 击 可 导 致 信 息 泄 露 的 一 个 基 础 。 两 个 进 程 共 享 内 存 页 ， 到 了 线 程 层 面 也 有 很 大 概 率 共 享 处 理 器 上 的 缓 存   C a c h e   部 分 。 C a c h e   是 连 接 主 内 存 和 处 理 器 前 端 的 缓 冲 地 带 ， 其 读 写 速 度 比 内 存 要 快 得 多 。 处 理 器 在 进 行 数 据 处 理 时 ， 会 首 先 从   c a c h e   中 提 取 数 据 和 指 令 ， 唯 有 在 发 现   c a c h e   中 没 有 所 需 数 据 时 才 向 主 内 存 发 出 请 求 ， 要 知 道 从 主 内 存 中 提 个 数 据 ， 可 能 需 要 浪 费 多 达   2 0 0   个 时 钟 周 期 ， 这 对 处 理 器 这 种 高 速 设 备 而 言 绝 对 是 不 太 能 忍 的 ， 所 以 你 看 当 代   C P U   的   c a c h e   命 中 率 有 多 高 。
当 代 处 理 器 都 采 用 多 层 级   c a c h e   方 案 ，   C a c h e   中 的 存 储 基 本 单 位 是   l i n e ， 每 条   l i n e   包 含 固 定 字 节 数 （ 如 下 图 ） 。 比 如 i 5 - 3 4 7 0   的   c a c h e   l i n e   尺 寸 为   6 4   字 节 。 另 外 作 为 共 享   c a c h e ， 所 有   c a c h e   数 据 的 副 本 在 此 处 都 有 一 份 （ 至 少   I n t e l   处 理 器 是 这 样 ） 。 所 以 如 果 我 们 尝 试 从   L 3   擦 除 一 些 数 据 ， 则 其 他 各 级   c a c h e   的 数 据 都 也 可 以 被 移 除 — — 这 是 F L U S H + R E L O A D   攻 击 的 基 础 。 比 如 上 面 这 张 图 是   I n t e l   酷 睿   i 5 - 3 4 7 0   处 理 器 的   c a c h e   架 构 。 其   c a c h e   分 三 级 ， 分 别 是   L 1 、 L 2   和   L 3   缓 存 ， L 1   离 处 理 器 核 心 最 近 ， 速 度 最 快 ， 容 量 也 最 小 ， L 3   则 离 处 理 器 最 远 ， 容 量 相 对 也 更 大 — — 此 例 中 是   6 M B 。 从   2 0 0 8   年   I n t e l N e h a l e m   架 构 开 始 ， I n t e l   的 所 有 多 核 酷 睿 处 理 器 就 有 了 共 享   L 3   缓 存 ， 无 论 这 个 处 理 器 有 多 少 内 核 均 能 共 享   L 3   至 L L C （ L a s t   L e v e l   C a c h e ， 末 级 缓 存 ） 中 的 所 有 数 据 ， 这 也 间 接 降 低 了 攻 击 实 施 的 难 度 。 假 设 有 这 样 一 个 目 标 进 程   1 ， 为 了 让 它 和 我 们 构 造 的 恶 意 进 程   2   进 行   p a g e   s h a r i n g ， 就 将 内 存 映 射 函 数   m m a p s   应 用 到 目 标 可 执 行 程 序 ， 令 其 进 入 恶 意 进 程   2   的 虚 拟 地 址 空 间 ， 完 成 映 射 文 件 的 内 存 镜 像 共 享 （ 需 保 证 两 者 在 同 一 物 理 处 理 器 上 运 行 ， 可 令 其 位 于 处 理 器 的 不 同 核 心 之 上 ） 。 攻 击 第 一 步 ， 让 恶 意 进 程   2   监 控 某 个 特 定 的   c a c h e   l i n e ， 并 将 其 内 容 从   c a c h e   中 擦 除 ； 第 二 步 ， 恶 意 进 程   2   等 待 一 段 时 间 ； 第 三 步 ， 恶 意 进 程   2   重 新 载 入 刚 才 的 那 条   l i n e 。 如 果 说 载 入 这 条   l i n e   的 时 间 比 较 久 ， 就 说 明 应 该 是 从 主 内 存 中 载 入 的 （ 因 为 主 内 存 很 慢 ） ， 最 主 要 的 是 说 明 在 等 待 过 程 中 目 标 进 程   1   并 没 有 尝 试 载 入 这 条   l i n e ； 但 如 果 在 这 一 步 中 ， 恶 意 进 程   2   载 入 这 条   l i n e   的 时 间 很 短 ， 就 说 明 目 标 进 程   1   刚 才 也 尝 试 过 载 入 这 行   l i n e （ 因 为 目 标 进 程   1   载 入 过 之 后 ， 这 部 分 数 据 就 已 经 写 到 了   c a c h e   中 ， 而   c a c h e   是 很 快 的 ， 所 以 恶 意 进 城   2   载 入 这 条   l i n e   的 时 间 就 很 短 了 ） — — 撞
上 了 ！ 如 此 循 环 往 复 ， 如 上 图 所 示 ， 这 样 一 来 就 能 得 知 哪 些 数 据 被 存 取 过 。 这 就 是 所 谓 的   F L U S H + R E L O A D   L 3   c a c h e   攻 击 。 当 然 了 ， 这 种 攻 击 还 是 存 在 精 度 问 题 的 ， 比 如 说 上 图   C   的 情 况 ， 恶 意 进 程 请 求 载 入 某 条   l i n e ， 在 极 短 时 间 内 目 标 进 程 也 恰 巧 请 求 载 入 这 条   l i n e ， 这 样 观 测 到 的 结 果 就 会 有 问 题 ； 另 外 还 需 要 考 虑 一 些 处 理 器 的 性 能 优 化 方 案 的 噪 声 干 扰 ， 比 如 说 现 在 的 处 理 器 的 空 间 局 部 性 实 现 的 数 据 预 取 （ p r e f e t c h ） ， 还 有 像 是 分 支 预 测 ， 这 要 求 在 设 计 攻 击 程 序 （ 建 议 采 用 循 环 体 之 类 以 内 存 访 问 相 对 频 繁 的 为 目 标 ， 如 上 图   E ） 和 对 结 果 进 行 分 析 的 时 候 有 过 滤 策 略 。
比 如 像 上 面 这 样 ， 其 中 第   1 4   行   c f l u s h   就 是 从 所 有   c a c h e   中 擦 除 某 行   l i n e ； 另 外 ， 如   m f e n c e 、 l f e n c e   这 些 指 令 实 现 指 令 流 的 串 行 序 列 化 ， 避 免 并 行 和 乱 序 执 行 的 出 现 。 这 篇   p a p e r   还 特 别 举 了 攻 击 的 实 例 ， 以 这 种 攻 击 方 法 从   R S A   实 施 方 案   G n u P G   中 获 取 私 钥 。 按 照 这 篇   p a p e r   所 说 ， 平 均 而 言 ， 这 种 攻 击 方 案 通 过 观 察 单 独 的 一 个 签 名 或 加 密 轮 ， 平 均 就 能 恢 复 密 钥   9 6 . 7 %   的   b i t s 。 至 此 我 们 不 难 看 出 ， 现 代 处 理 器 特 别 是 多 内 核 处 理 器 为 了 提 升 性 能 ， 大 部 分 都 采 用 了 多 级 缓 存 设 计 ， 而 各 大 处 理 器 厂 商 更 是 投 入 巨 资 去 研 究 和 提 升 缓 存 命 中 率 ， 然 而 这 样 的 设 计 恰 恰 存 在 漏 洞 。 那 么 ， 现 代 处 理 器 如 果 没 有 缓 存 或 者 不 共 享 缓 存 ， 是 不 是 就 会 幸 免 于 难 ？ 在 热 核 时 代 ， 答 案 当 然 是 否 定 的 — — 还 记 得 我 们 开 篇 所 说 么 ？ M e l t d o w n   和   S p e c t r e   包 含   3   个 漏 洞 ， 缓 存 只 是 其 一 ， 乱 序 执 行 接 踵 而 来 。 M e l t d o w n ， ，   乱 序 执 行 惹 的 祸 乱 序 执 行 惹 的 祸 上 述   F L U S H + R E L O A D   攻 击 实 际 上 就 是 这 次   M e l t d o w n   和   S p e c t r e   攻 击 最 终 环 节 的 组 成 部 分 ， 也 是 这 两 个 攻 击 被 称 为 边 信 道 攻 击 的 原 因 ： 敏 感 信 息 的 获 取 ， 靠 的 是 检 查 读 取 某 条   c a c h e   l i n e   的 时 间 ， 这 已 经 是 比 较 典 型 的 边 信 道 攻 击 了 ， 虽 然 好 像 感 觉 不 够 神 奇 。 不 过 在   M e l t d o w n   和   S p e c t r e   的 攻 击 链 条 中 ， F L U S H + R E L O A D   并 非 唯 一 实 施 方 案 ， 还 有 各 种 变 体 ， 比 如   P r i m e + P r o b e   也 是 可 行 的 ， 这 里 就 不 做 展 开 了 。 但 这 部 分 构 建 了 攻 击 链 中 的   c o n v e r t   c h a n n e l ， 也 就 是 最 后 获 取 到 敏 感 数 据 的 一 个 秘 密 通 道 。 因 为   A R M   虽 然 也 有 擦 除   c a c h e   l i n e   的 指 令 ， 但 这 些 指 令 仅 可 用 于 高 权 限 模 式 ， A R M   架 构 不 允 许 用 户 进 程 选 择 性 地 擦 除   l i n e ； 对   A M D   处 理 器 攻 击 也 无 效 ， 作 者 推 测   A M D   处 理 器 的 缓 存 结 构 可 能 是 非 包 含 式 的 ， 即   L 1   的 数 据 不 需 要 存 在 于   L 2   或   L 3   中 ， 所 以 擦 除   L 3   c a c h e   的 某 行   l i n e ， 并 不 对   L 1   构 成 影 响 。 在   S p e c t r e   攻 击 的   p a p e r   中 [ 4 ] ， 研 究 人 员 提 到 他 们 不 仅 采 用   F L U S H + R E L O A D   攻 击 方 案 ， 另 外 还 融 合 了 E V I C T + R E L O A D   方 案 — — 这 本 质 上 算 是 前 者 的 一 个 变 体 ， 只 不 过 后 者 对   l i n e   的 擦 除 方 法 更 复 杂 ， 这 可 能 是 M e l t d o w n   和   S p e c t r e   得 以 在 不 同 处 理 器 平 台 上 实 现 的 一 部 分 原 因 ， 有 兴 趣 的 同 学 可 以 去 深 挖 后 一 种 方 案 [ 5 ] 。
就   M e l t d o w n   而 言 ， 这 种 攻 击 方 式 主 要 利 用 的 是 当 代 处 理 器 的 乱 序 执 行 特 性 ， 可 以 在 不 需 要 进 行 系 统 提 权 的 情 况 下 ， 就 读 取 任 意 内 核 内 存 位 置 ， 包 括 敏 感 数 据 和 密 码 ， 甚 至 拿 下 整 个 内 核 地 址 空 间 。 不 过 它 对   A M D   和   A R M   的 处 理 器 也 是 无 效 的 ， 但 原 因 似 乎 并 不 像 上 面 这 样 。 研 究 人 员 在   p a p e r   中 提 到 [ 6 ] ， M e l t d o w n   在 在   A M D   和 和   A R M   C P U   上 的 攻 上 的 攻 击 复 现 并 不 成 功 但 可 能 只 需 要 对 攻 击 进 行 一 定 优 化 ， 深 入 挖 掘 依 然 可 能 会 成 功 ， 比 如 对 竞 争 条 件 进 行 一 些 调 击 复 现 并 不 成 功 但 可 能 只 需 要 对 攻 击 进 行 一 定 优 化 ， 深 入 挖 掘 依 然 可 能 会 成 功 ， 比 如 对 竞 争 条 件 进 行 一 些 调 整 ， 所 以 整 ， 所 以   M e l d o w n   攻 击 或 许 也 并 不 仅 限 于 攻 击 或 许 也 并 不 仅 限 于   I n t e l 。 。 “ 乱 序 执 行 ” 本 身 不 是 个 生 词 了 ， 当 代 的 高 性 能 处 理 器 都 有 乱 序 执 行 特 性 ： 早 些 年   C P U   性 能 每 年 翻 番 都 并 不 稀 罕 ， 通 过 增 加 核 心 数 、 时 钟 频 率 ， 加 宽 管 线 外 加 工 艺 迭 代 就 能 实 现 。 但 是 在 顺 序 执 行 架 构 达 到 瓶 颈 之 后 ， 架 构 的 优 化 就 成 为 一 个 重 要 方 向 ： 顺 序 执 行 架 构 中 ， 指 令 完 全 按 照 一 个 不 变 的 顺 序 执 行 ， 就 算   C P U   运 算 单 元 的 执 行 速 度 很 快 ， C P U   却 浪 费 大 量 时 间 在 等 待 ， 许 多 单 元 处 在 闲 置 状 态 ， 所 以 乱 序 执 行 成 为 提 升 效 率 的 重 要 解 决 方 案 。 好 比 你 攒 台   P C ， 如 果 显 卡 还 没 到 货 ， 肯 定 不 会 守 在 门 口 傻 等 ， 而 是 把 其 余 部 分 先 组 装 好 。 1 9 6 7   年 ， T o m a s u l o   最 早 开 发 出 了 可 用 于 动 态 规 划 指 令 乱 序 执 行 的 算 法 ， 当 时 他 就 提 出 了 一 个 叫   U n i f i e d   R e s e r v a t i o n S t a t i o n   的 东 西 。 的 东 西 。 C P U   在 不 需 要 将 某 个 值 存 储 到 寄 存 器 并 读 取 的 情 况 下 ， 就 可 以 在 这 里 使 用 值 。 此 外 ， 在 不 需 要 将 某 个 值 存 储 到 寄 存 器 并 读 取 的 情 况 下 ， 就 可 以 在 这 里 使 用 值 。 此 外 ， U n i f i e d R e s e r v a t i o n   S t a t i o n   还 通 过 一 个 还 通 过 一 个   C D B （ 共 用 数 据 总 线 ） 把 所 有 执 行 单 元 连 接 起 来 。 如 果 某 个 操 作 数 尚 未 准 备 （ 共 用 数 据 总 线 ） 把 所 有 执 行 单 元 连 接 起 来 。 如 果 某 个 操 作 数 尚 未 准 备 就 绪 ， 就 绪 ， U R S   单 元 可 以 监 听 单 元 可 以 监 听   C D B ， 获 取 里 面 的 数 据 ， 然 后 就 可 以 直 接 执 行 指 令 了 。 ， 获 取 里 面 的 数 据 ， 然 后 就 可 以 直 接 执 行 指 令 了 。 （ 请 注 意 ， 这 一 段 对 于 理 解 后 面 的   M e l t d o w n   攻 击 流 程 很 重 要 ）
在   I n t e l   的 处 理 器 架 构 中 ， 其 整 条 管 线 包 含 了 前 端 、 执 行 引 擎 （ 后 端 ） 和 存 储 子 系 统 。 前 端 会 从 存 储 系 统 中 （ 包 括 c a c h e   和 主 内 存 ） 读 取   x 8 6   指 令 ， 随 后 分 解 成 为   μ O P （ 所 谓 的 “ 微 指 令 ” ， 有 些 类 似 于 将   C I S C   转 为   R I S C   的 过 程 ） ， μ O P   再 发 往 执 行 引 擎 。 乱 序 执 行 操 作 就 是 在 执 行 引 擎 中 发 生 的 ， 如 上 图 所 示 。 其 中 有 个   R e o r d e r   b u f f e r （ 重 新 排 序 缓 冲 器 ） ， 负 责 寄 存 器 分 配 、 寄 存 器 重 命 名 和   r e t i r e 。 在 经 过 此 处 之 后 ， μ O P   就 转 发 到 了 上 面 提 到 的   U n i f i e d   R e s e r v a t i o n   S t a t i o n ， 此 处 对 操 作 进 行 排 序 ， 排 队 完 了 就 可 以 发 往 执 行 单 元 了 ； 执 行 单 元 就 能 进 行   A L U   加 减 乘 除 、 A E S 、 A G U   或 者 载 入 存 储 执 行 之 类 的 操 作 了 。 A G U （ 地 址 生 成 单 元 ） 以 及 载 入 与 存 储 执 行 单 元 直 接 与 存 储 子 系 统 相 连 ， 可 以 直 接 处 理 请 求 。
现 在 的 处 理 器 一 般 都 已 经 不 再 直 线 型 执 行 指 令 ， 比 如 分 支 预 测 单 元 可 以 猜 测 接 下 来 该 执 行 什 么 指 令 — — 分 支 预 测 器 在 某 个   i f   t h e n   语 句 中 的 条 件 语 句 还 没 有 判 断 之 前 ， 就 已 经 开 始 预 测 其 中 的 分 支 运 行 结 果 了 。 在 这 条 线 路 上 ， 那 些 没 有 依 赖 关 系 的 指 令 可 以 先 执 行 ， 如 果 预 测 正 确 ， 运 算 结 果 就 可 以 马 上 使 用 了 。 如 果 预 测 错 误 ， R e o r d e r   b u f f e r   清 理 回 滚 ， 并 重 新 初 始 化   U n i f i e d   R e s e r v a t i o n   S t a t i o n 。 选 读 ： 有 关 地 址 空 间 （ 可 略 过 ） 选 读 ： 有 关 地 址 空 间 （ 可 略 过 ） 为 了 让 进 程 彼 此 间 隔 离 ， C P U   支 持 虚 拟 地 址 空 间 ， 在 此 虚 拟 地 址 会 转 为 物 理 地 址 。 一 个 虚 拟 地 址 空 间 会 被 分 成 几 个   p a g e ， 这 些   p a g e   通 过 多 层 级 页 转 换 表 （ m u l t i - l e v e l   p a g e   t r a n s l a t i o n ） 分 别 映 射 到 物 理 内 存 。 这 里 的 转 换 表 ， 定 义 了 虚 拟 和 物 理 间 的 映 射 转 换 ， 另 外 还 定 义 了 用 于 进 行 权 限 检 测 （ 可 读 属 性 、 可 写 属 性 、 可 执 行 属 性 、 用 户 可 访 问 属 性 ） 的 保 护 属 性 。 现 如 今 的 转 换 表 放 在 某 个 特 定 的   C P U   寄 存 器 里 面 。 在 每 次 进 程 上 下 文 切 换 的 时 候 ， 操 作 系 统 都 会 用 另 一 个 进 程 的 转 换 表 地 址 去 更 新 该 寄 存 器 ， 所 以 每 个 进 程 都 有 个 虚 拟 地 址 空 间 ， 每 个 进 程 只 能 参 照 其 自 有 虚 拟 地 址 空 间 的 数 据 。 每 个 虚 拟 地 址 空 间 又 切 分 成 用 户 （ U s e r ） 和 内 核 （ K e r n e l ） 两 部 分 。 运 行 中 的 应 用 可 以 访 问 用 户 地 址 空 间 ， 但 内 核 地 址 空 间 仅 当   C P U   运 行 在 特 权 模 式 下 才 可 以 访 问 。 这 一 步 是 由 操 作 系 统 决 定 的 ， 操 作 系 统 在 相 应 的 转 换 表 中 禁 用 用 户 可 访 问 属 性 即 可 。 实 际 上 内 核 地 址 空 间 不 仅 包 含 内 核 自 己 用 的 部 分 ， 也 需 要 在 用 户   p a g e   执 行 操 作 ， 比 如 往 里 面 灌 数 据 。 因 此 ， 整 个 物 理 内 存 在 内 核 中 都 有 映 射 。 在   L i n u x   和   O S   X   系 统 中 ， 这 种 映 射 比 较 直 接 ， 比 如 整 个 物 理 内 存 直 接 映 射 到 预 定 义 的 虚 拟 地 址 ； W i n d o w s   的 情 况 则 比 较 特 殊 ， W i n d o w s   系 统 维 护 分 页 池 （ p a g e d   p o o l ） 、 非 分 页 池 （ n o n - p a g e d   p o o l ） 以 及 系 统 缓 存 （ s y s t e m   c a c h e ） 。 这 些 “ 池 ” 就 是 内 核 地 址 空 间 中 的 虚 拟 存 储 区 域 ， 将 物 理 页 映 射 到 虚 拟 地 址 ， 其 中 非 分 页 池 要 求 地 址 位 于 内 存 中 ， 分 页 池 由 于 已 经 存 储 在 了 磁 盘 上 ， 所 以 可 以 从 内 存 中 移 除 。 而 系 统 缓 存 部 分 则 包 含 所 有 文 件 备 份 页 的 映 射 。 一 般 的 内 存 破 坏 漏 洞 利 用 ， 就 需 要 某 个 数 据 的 地 址 。 为 了 阻 止 内 存 破 坏 一 类 攻 击 ， 就 有 了   A S L R   等 技 术 。 为 了 保 护 内 核 ， K A S L R （ 内 核 地 址 空 间 布 局 随 机 化 ） 在 启 动 的 时 候 会 对 内 核 地 址 进 行 随 机 化 ， 令 攻 击 难 度 更 大 。 微 软 和 苹 果 在 W i n d o w s   7 和 M a c   O S   X   1 0 . 8   中 引 入 了 k A L S R 并 强 制 开 启 。 L i n u x 在 2 0 1 7 年 5   月 于 4 . 1 2   版 本 中 默 认 开 启 k A L S R 。 实 施   M e l t d o w n   攻 击 ， 要 克 服   K A S L R   就 需 要 获 取 到 这 种 随 机 偏 移 量 。 但 要 做 到 这 一 点 也 并 不 难 。 这 里 我 们 看 一 个 乱 序 执 行 的 简 单 例 子 。 这 段 代 码 第 一 行 就 产 生 了 异 常 （ 不 用 管 是 怎 么 产 生 异 常 的 ） ， 按 照 控 制 流 来 说 ， 发 生 异 常 就 该 跳 到 操 作 系 统 的 异 常 处 理 程 序 ， 应 用 终 止 ， 后 面 的 代 码 就 不 会 继 续 执 行 了 。 但 因 为 有 乱 序 执 行 的 存 因 为 有 乱 序 执 行 的 存
在 ， 第 三 行 指 令 可 能 已 经 部 分 被 执 行 了 ， 只 不 过 没 有 在 ， 第 三 行 指 令 可 能 已 经 部 分 被 执 行 了 ， 只 不 过 没 有   r e t i r e ， 所 以 实 际 上 并 不 会 在 架 构 层 面 产 生 可 见 的 影 响 ， ， 所 以 实 际 上 并 不 会 在 架 构 层 面 产 生 可 见 的 影 响 ， 即 它 对 寄 存 器 、 内 存 都 不 会 有 影 响 。 即 它 对 寄 存 器 、 内 存 都 不 会 有 影 响 。 这 部 分 执 行 最 终 会 被 丢 弃 （ 恢 复 状 态 ） ， 寄 存 器 和 内 存 的 内 容 也 不 会 执 行   c o m m i t 。 但 它 对 微 架 构 层 面 有 影 响 — — 这 里 所 谓 的 微 架 构 也 就 是   c a c h e   部 分 了 。 在 乱 序 执 行 （ 第 三 行 指 令 ） 过 程 中 ， 引 用 的 内 存 读 取 到 寄 存 器 上 ， 也 存 储 到 了 c a c h e   里 面 ， 即 便 最 终   C P U   发 现 异 常 以 后 清 空 整 条 管 线 ， c a c h e   中 的 内 容 也 依 然 会 保 留 中 的 内 容 也 依 然 会 保 留 。 这 样 一 来 ， 利 用 本 文 第 一 部 分 提 到 的   c a c h e   边 信 道 攻 击 就 可 以 获 知 其 中 的 信 息 了 （ 此 处 是 要 提 取   d a t a   的 值 ） ： 也 就 是 不 停 探 测 某 个 内 存 位 置 是 否 进 入   c a c h e 。 完 整 的   M e l t d o w n   攻 击 主 要 分 成 两 个 组 成 部 分 ， 第 一 部 分 就 是 让   C P U   执 行 某 个 永 远 不 会 在 路 径 中 被 执 行 的 指 令 ， 如 上 例 中 的 第 三 行 代 码 — — 我 们 将 这 种 指 令 称 作   t r a n s i e n t   i n s t r u c t i o n 。 真 正 要 将 这 种   t r a n s i e n t   i n s t r u c t i o n   应 用 到 实 践 攻 击 中 ， 就 要 求 指 令 序 列 中 包 含 密 钥 之 类 的 东 西 — — 就 是 攻 击 者 想 要 窃 取 的 数 据 。 M e l t d o w n   的 第 二 部 分 主 要 就 是 我 们 这 篇 文 章 第 一 部 分 提 到 的 那 种 基 于 时 间 的 边 信 道 攻 击 了 ， 把 密 钥 给 恢 复 出 来 ， 或 者 说 对   L 3   c a c h e   进 行 攻 击 获 取 数 据 的 方 法 。 这 样 我 们 基 本 上 已 经 把   M e l t d o w n   的 攻 击 过 程 给 说 清 楚 了 。 但 实 际 操 作 中 可 能 会 碰 到 很 多 复 杂 的 情 况 ， 如 攻 击 者 要 获 取 密 钥 ， 那 么 就 意 味 着 要 访 问 用 户 不 可 访 问 的   p a g e ， 比 如 说 内 核 页 — — 访 问 这 样 的 位 置 ， 由 于 没 有 权 限 ， 所 以 会 导 致 异 常 。 攻 击 者 需 要 去 想 办 法 处 理 这 样 的 异 常 ， 否 则 的 话 进 程 就 要 被 终 止 了 。 处 理 方 法 可 以 是 把 攻 击 程 序 分 成 不 同 部 分 ， 只 在 子 进 程 中 执 行 后 面 的   t r a n s i e n t   i n s t r u c t i o n   序 列 ， 而 父 进 程 通 过 后 续 的 边 信 道 攻 击 来 恢 复 密 钥 。 另 外 ， 在 第 二 部 分 的 边 信 道 攻 击 ， 也 就 是 上 图 中 所 谓 构 建   c o v e r t   c h a n n e l   秘 密 通 道 ， 悄 悄 把 已 经 存 在 于   c a c h e   中 的 密 钥 给 窃 取 到 了 。 在 这 部 分 里 ， 我 们 可 以 把   t r a n s i e n t   i n s t r u c t i o n   序 列 看 成 是 这 个 通 道 的 发 射 端 ， 而 接 收 端 可 以 是 不 同 的 进 程 （ 和 第 一 部 分 的   t r a n s i e n t   i n s t r u c t i o n   可 以 是 无 关 的 ） ， 比 如 可 以 是 前 面 提 到 的 父 进 程 。
如 果 你 还 是 不 明 白 ， 这 里 举 个 简 单 例 子 ： 有 家 餐 厅 （ C P U ） ， 这 家 餐 厅 有 个 收 银 员 ， 还 有 个 厨 师 （ 执 行 引 擎 ） 。 小 明 和 小 红 每 天 都 去 这 家 餐 厅 吃 东 西 ， 小 红 （ 内 核 ） 每 次 点 东 西 的 方 法 都 是 对 收 银 员 说 ： 我 要 和 昨 天 一 样 的 东 西 — — 然 后 厨 师 把 东 西 做 出 来 ， 收 银 员 给 小 红 打 包 带 走 。 小 明 很 想 知 道 小 红 吃 的 究 竟 是 什 么 ， 所 以 他 有 一 天 跟 在 小 红 身 后 ； 小 红 点 完 以 后 ， 小 明 跟 收 银 员 说 ： 我 要 和 小 红 一 样 的 东 西 。 收 银 员 说 ： 你 这 是 侵 犯 人 家 的 隐 私 ， 滚 出 我 们 餐 厅 （ 发 生 异 常 ） ！ 于 是 小 明 就 被 人 收 银 员 一 脚 踢 出 了 餐 厅 （ 管 线 清 空 ） 。 小 明 想 了 一 个 新 的 办 法 ， 第 二 天 他 带 着 小 方 一 起 去 ， 他 俩 跟 在 小 红 后 面 。 小 红 照 常 点 餐 （ 点 的 是 汉 堡 ） ， 小 明 大 声
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理