cd ~/cve-2022-0847
gcc exp.c -o exp --static && cp exp ./rootfs && cd rootfs
find . | cpio -o --format=newc > ../rootfs.img
cd ../ 
./boot.sh

gdb ./vmlinux
target remote :10086
directory /root/linux-5.13
b do_splice
b copy_page_to_iter_pipe 
b pipe_write
ignore 3 15
...
p *(struct pipe_inode_info *) pipe
p (struct pipe_buffer)pipe->bufs[0]

static ssize_t
pipe_write(struct kiocb *iocb, struct iov_iter *from)
{
    struct file *filp = iocb->ki_filp;
    struct pipe_inode_info *pipe = filp->private_data;
    unsigned int head;
    ssize_t ret = 0;
    size_t total_len = iov_iter_count(from);
    ssize_t chars;
    bool was_empty = false;
    bool wake_next_writer = false;

    ··· ···
    ··· ···
    head = pipe->head;
    was_empty = pipe_empty(head, pipe->tail);
    chars = total_len & (PAGE_SIZE-1);
    if (chars && !was_empty) { 
        //[1] पाइप कैश खाली नहीं है, तो वर्तमान अंतिम पृष्ठ से "आगे" लिखने का प्रयास करें
        unsigned int mask = pipe->ring_size - 1;
        struct pipe_buffer *buf = &pipe->bufs[(head - 1) & mask];
        int offset = buf->offset + buf->len; 

        if ((buf->flags & PIPE_BUF_FLAG_CAN_MERGE) &&
            offset + chars <= PAGE_SIZE) { 
            /*[2] महत्वपूर्ण, यदि PIPE_BUF_FLAG_CAN_MERGE ध्वज मौजूद है, तो इस पृष्ठ को आगे लिखने की अनुमति है
             * यदि लिखने की लंबाई पृष्ठ सीमा को पार नहीं करती है, तो आगे लिखें, अन्यथा नया पृष्ठ शुरू करें */
            ret = pipe_buf_confirm(pipe, buf);
            ···
            ret = copy_page_from_iter(buf->page, offset, chars, from);
            ···
            }
            buf->len += ret;
            ···
        }
    }

    for (;;) {//[3] यदि पिछले पृष्ठ पर आगे नहीं लिख सकते, तो नया पृष्ठ शुरू करें
        ··· ···
        head = pipe->head;
        if (!pipe_full(head, pipe->tail, pipe->max_usage)) {
            unsigned int mask = pipe->ring_size - 1;
            struct pipe_buffer *buf = &pipe->bufs[head & mask];
            struct page *page = pipe->tmp_page;
            int copied;

            if (!page) {//[4] एक नया पृष्ठ आवंटित करें
                page = alloc_page(GFP_HIGHUSER | __GFP_ACCOUNT);
                if (unlikely(!page)) {
                    ret = ret ? : -ENOMEM;
                    break;
                }
                pipe->tmp_page = page;
            }

            spin_lock_irq(&pipe->rd_wait.lock);

            head = pipe->head;
            ··· ···
            pipe->head = head + 1;
            spin_unlock_irq(&pipe->rd_wait.lock);

            /* इसे बफर सरणी में डालें */
            buf = &pipe->bufs[head & mask];
            buf->page = page;//[5] नए आवंटित पृष्ठ को पृष्ठ सरणी में रखें
            buf->ops = &anon_pipe_buf_ops;
            buf->offset = 0;
            buf->len = 0;
            if (is_packetized(filp))
                buf->flags = PIPE_BUF_FLAG_PACKET;
            else
                buf->flags = PIPE_BUF_FLAG_CAN_MERGE;
                //[6] ध्वज सेट करें, डिफ़ॉल्ट PIPE_BUF_FLAG_CAN_MERGE
            pipe->tmp_page = NULL;

            copied = copy_page_from_iter(page, 0, PAGE_SIZE, from); 
            //[7] कॉपी ऑपरेशन
            ··· ···
            ret += copied;
            buf->offset = 0;
            buf->len = copied;

            ··· ···
        }
        ··· ···
    }
    ··· ···
    return ret;
}