mmiotic

أداة استكشافية لتوقيت MMIO — قِس زمن أي عنوان فيزيائي، وشَرِّح العتاد انطلاقًا من زمن الاستجابة.

مفيدة بشكل غير متوقع في الهندسة العكسية للعتاد، وبصمات الهايبرفايزر، واستغلال القنوات الجانبية لمراقبة نشاط الأجهزة، وتوصيف التسجيلات، ومعايرة المشغِّلات الخبيثة، وصياغة تعليمات آلة طويلة بشكل فاحش.

أمثلة

الهندسة العكسية لنطاقات الذاكرة

الميغابايت الأولى من الذاكرة الفيزيائية مثال سهل للبدء به، حتى لو كان تركيبها معروفًا جيدًا مسبقًا.

حدود زمن الاستجابة تتيح لنا تقسيم فضاء العناوين دون الاعتماد على التخطيطات المُبلَّغ عنها.

1. ابدأ بفحص زمن استجابة بسيط: sudo ./mmiotic --start-address 0x0 --end-address 0x100000 --stride 4 --count 20 --quiet-mmap
2. يستقر زمن الاستجابة عند الحدود الكلاسيكية — من DRAM إلى 0x9FFFF عند ~380 دورة، ثم فجوة الفيديو البالغة 128 كيلوبايت، والتي تنقسم إلى قسمين عند 0xB0000. قد يشير تغيّر التباين عند 0x20000 إلى مسار تنقّل صفحات مختلف للصفحة الصفرية.
3. A0000–AFFFF: بطيء ومتذبذب (996 دورة، والانحراف المعياري 327)، ويُوجَّه إلى Radeon المزوَّد بالطاقة والخامل. B0000–BFFFF: سريع وثابت (780 دورة، والانحراف المعياري 3.2، يقرأ ffffffff)، ولا يطالب به أحد. بيانات تبدو متشابهة، لكن الفجوة في التباين تبلغ 100 ضعف.
4. C0000–FFFFF: يقول /proc/iomem «System ROM»، لكن الفحص يُظهر زمن استجابة DRAM وليس سرعة الفلاش — إذ إن BIOS مُظلَّل داخل DRAM.

تسجيلات صندوق بريد غير موثّقة

افحص فضاء إعداد root-complex (00:00.0، 4 كيلوبايت) بحثًا عن القيم الشاذة في زمن الاستجابة مقابل أرضية مسطّحة تبلغ ~675 دورة:

زمن استجابة صندوق البريد أعلى بكثير من البيانات المحيطة، وتكرار القمم وتكافؤ التباينات يتيحان لنا مطابقة تسجيلات متشابهة وظيفيًا.

1. افحص فضاء إعداد root-complex: sudo ./mmiotic --start-address 0xf8000000 --end-address 0xf8001000 --stride 4 --count 200
2. كلمتان مزدوجتان (dwords) هما الشاذتان: الإزاحة 0xe4 (1218 دورة، القيمة 80e3110b) و0xa4 (1199 دورة، القيمة deadbeef). e4 جرس باب (doorbell) موثّق؛ أما a4 فغير موثّق.
3. زمن استجابة شبه متطابق، وبينهما مسافة 0x40، وكلاهما أعلى بكثير من الأرضية — عائلة تسجيلات واحدة تبلغ الهدف نفسه خارج الشريحة (off-die)، ولا يُعلَن منها سوى e4.
4. القيم مختلفة: يُقرأ deadbeef كقيمة حارسة (sentinel) تدل على حالة غير مهيَّأة/خطأ — صندوق البريد نفسه، لكن a4 غير مُنفَّذ أو يتلقى مدخلات غير صالحة.

معايرة المقاطعات

يمكن أحيانًا استخدام زمن استجابة مُنتقى بعناية في سيناريوهات استغلال غير مألوفة (MCHAMMER، smiiiiiiiiiiiiiiii):

هنا، يحوّل Radeon خامل وبلا برنامج تشغيل (driver) قراءة واحدة محاذاة من 4 بايتات إلى تعليق (stall) يبلغ ~100,000 دورة.

1. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e00100 --stride 4 --count 50 — امسح رأس BAR الخاصة بوحدة معالجة الرسوم (GPU) (0x90e00000، 256 كيلوبايت). تكلّف 0x90e00008 110,152 دورة؛ أما 0x90e00018، التي تبعد 16 بايتًا، فتعود سريعة عند 1,523 — لكل تسجيل وليس لكل صفحة.
2. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e40000 --stride 4 --count 1 --binary — يفحص --binary بترتيب عكس البتات، لذا تُغطَّى نافذة الـ256 كيلوبايت كاملة تغطية موحّدة بعد 1,012 عملية فحص، ليرسم كتلة متصلة من 48 كيلوبايت يكون فيها كل تسجيل بطيئًا.
3. على الأرجح، يعود زمن الاستجابة إلى جولة ذهاب وإياب عبر SMU لإلغاء البوّابة عن نطاق مُبوَّب بالساعة/الطاقة — لذا تستخرج خريطة زمن الاستجابة تخطيط الطاقة لوحدة معالجة الرسوم، دون الحاجة إلى برنامج تشغيل أو ورقة بيانات.

لمحة قاتلة

من الناحية المثالية، سيكون قراءة عنوان فيزيائي عملية آمنة نسبيًا، لكن mmiotic بارع خصوصًا في العثور مصادفةً على الاستثناءات:

على سبيل المثال، على المنصة أعلاه، قراءة 1 بايت من 0xdc5003b0 — الإزاحة 0x3b0 من BAR لتسجيلات iGPU في معالج Zen 4 دون برنامج تشغيل (المنطقة 5، 0xdc500000، 512 كيلوبايت) — تعيد تشغيل النظام بشكل موثوق.

1. sudo ./mmiotic --address 0xdc5003b0 --size 1 --count 1. لا مخرجات؛ يُعاد تشغيل الجهاز.
2. كلمة مزدوجة واحدة بالضبط: 0x3ac و0x3b4 على الجانبين تقرآن 00000000 عند ~3,200 دورة، وليستا ضارّتين.
3. مسح لكل كلمة مزدوجة من 0x3a0–0x3fc يعثر على 7 كلمات مزدوجة سامّة متداخلة مع 17 سليمة.
4. sudo busybox devmem 0xdc5003b0 32 وsudo dd if=/dev/mem bs=1 count=1 skip=$((0xdc5003b0)) تُسقطان الجهاز إذا فضّلت تجاوز الوسيط.

الاستخدام

[!WARNING] ستعيد بعض المنصات تشغيل نفسها عند فحص مناطق عناوين محددة بواسطة mmiotic. كن حذرًا في المكان الذي تستخدمه فيه.

الاستهداف

تُكتشف قاعدة ECAM وحجمها تلقائيًا من ACPI MCFG (/sys/firmware/acpi/tables/MCFG). يمكن تجاوزهما باستخدام -M, --mmio-base / -Z, --mmio-size.

الفحص

يحوّل --find-target/--find-longest الفحص إلى بحث:

طريقة الوصول

المخرجات / التنفيذ

أسطر النتائج

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312  max:      480  stdev:      2.1  dynamic: 0  value: 8086abcd

تُلحق -T عدد الدورات باللاحقة cy وتُدرج زوج زمن min/max مقيَّسًا (تطبع -N تلك القيم كنانوثانية خام):

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312 cy  max:      480 cy  (   104 ns/   160 ns)  stdev:      2.1  dynamic: 0  value: 8086abcd

الإعداد

البناء:

make

يعمل بصلاحيات الجذر (root) للوصول إلى /dev/mem.

إذا رأيت: mmap ... Operation not permitted، فجرّب الإقلاع مع iomem=relaxed لرفع CONFIG_STRICT_DEVMEM:

# /etc/default/grub
GRUB_CMDLINE_LINUX="iomem=relaxed nopat"

ثم نفّذ sudo update-grub وأعد التشغيل.

في الميدان

استُخدم mmiotic لتطوير مجموعة متنوعة من الأبحاث الداخلية والخارجية، أحيانًا بطرق غير متوقعة. بعض الأمثلة على تطبيقات mmiotic:

• MCHAMMER: يعاير mmiotic استثناء فحص آلة (machine check exception) مؤجَّلًا لتسليم إشارات MC# بدقة إلى البيئات المحمية.

• smiiiiiiiiiiiiiiii: يحلّ mmiotic مسألة التعليمة عالية زمن الاستجابة لكسر نقطة التقاء SMM.

• The Assembly Hall of Shame: يُستخدم mmiotic على نطاق واسع من أجل المشكلة المهمة المتمثلة في إضعاف الأداء (performance deoptimization).

المؤلف

mmiotic جهد بحثي من Christopher Domas (@xoreaxeaxeax).