mmiotic

Uno strumento esplorativo per il timing di MMIO — cronometra qualsiasi indirizzo fisico e disseziona l' hardware dalla latenza.

Sorprendentemente utile per il reverse engineering dell'hardware, il fingerprinting degli hypervisor, l'analisi dell'attività dei dispositivi tramite canali laterali, la caratterizzazione dei registri, la calibrazione di trigger malevoli e la creazione di istruzioni macchina oscenamente lunghe.

Esempi

Reverse engineering degli intervalli di memoria

Il primo megabyte di memoria fisica è un semplice esempio con cui iniziare, anche se la sua struttura è già ben nota.

I confini di latenza ci permettono di suddividere lo spazio degli indirizzi, senza fare affidamento sui layout riportati.

1. Inizia con una semplice scansione di latenza: sudo ./mmiotic --start-address 0x0 --end-address 0x100000 --stride 4 --count 20 --quiet-mmap
2. La latenza si assesta sui confini classici — DRAM fino a 0x9FFFF a ~380 cy, poi il buco video da 128 KB, che si divide in due a 0xB0000. Il cambiamento di varianza a 0x20000 potrebbe indicare un page walk diverso per la pagina null.
3. A0000–AFFFF: lenta e irregolare (996 cy, stdev 327), instradata verso la Radeon accesa ma in idle. B0000–BFFFF: veloce e rigida (780 cy, stdev 3.2, legge ffffffff), non reclamata da nessuno. Dati dall'aspetto simile, ma un divario di varianza di 100x.
4. C0000–FFFFF: /proc/iomem dice "System ROM", ma la scansione mostra latenza DRAM, non velocità flash — il BIOS è shadowato nella DRAM.

Registri mailbox non documentati

Scansiona uno spazio di configurazione del root complex (00:00.0, 4 KB) per individuare valori anomali di latenza rispetto a un minimo piatto di ~675 cicli:

La latenza della mailbox è significativamente più alta rispetto ai dati circostanti, e i picchi duplicati e le varianze equivalenti ci permettono di associare registri funzionalmente simili.

1. Scansiona lo spazio di configurazione del root complex: sudo ./mmiotic --start-address 0xf8000000 --end-address 0xf8001000 --stride 4 --count 200
2. Due dword sono i valori anomali: offset 0xe4 (1218 cy, valore 80e3110b) e 0xa4 (1199 cy, valore deadbeef). e4 è un doorbell documentato; a4 non è documentato.
3. Latenza quasi identica, distanti 0x40, entrambi ben al di sopra del minimo — una famiglia di registri che raggiunge lo stesso target off-die, di cui solo e4 è pubblico.
4. I valori differiscono: deadbeef viene letto come un sentinel non inizializzato/di errore — stessa mailbox, a4 non implementato o alimentato con input non valido.

Calibrazione degli interrupt

Latenze accuratamente selezionate possono talvolta essere usate in insoliti scenari di exploitation (MCHAMMER, smiiiiiiiiiiiiiiii):

Qui una Radeon in idle e senza driver trasforma una lettura allineata da 4 byte in uno stallo di ~100.000 cicli.

1. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e00100 --stride 4 --count 50 — spazza l'inizio della BAR della GPU (0x90e00000, 256 KB). 0x90e00008 costa 110.152 cy; 0x90e00018, 16 byte più avanti, è di nuovo veloce a 1.523 — per-registro, non per-pagina.
2. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e40000 --stride 4 --count 1 --binary — --binary sonda in ordine bit-reversal, quindi l'intera apertura da 256 KB viene coperta uniformemente dopo 1.012 sonde, mappando un blocco contiguo da 48 KB in cui ogni registro è lento.
3. Probabilmente, la latenza è dovuta a un round-trip dell'SMU per togliere il gate da un dominio clock/power-gated — quindi la mappa di latenza estrae il layout di alimentazione della GPU, senza bisogno di driver o datasheet.

Peek killer

Idealmente, leggere un indirizzo fisico sarebbe un'operazione relativamente sicura, ma mmiotic è particolarmente bravo a scoprire accidentalmente le eccezioni:

Ad esempio, sulla piattaforma di cui sopra, una lettura da 1 byte di 0xdc5003b0 — offset 0x3b0 di una BAR di registri della iGPU Zen 4 senza driver (Region 5, 0xdc500000, 512 KB) — resetta il sistema in modo affidabile.

1. sudo ./mmiotic --address 0xdc5003b0 --size 1 --count 1. Nessun output; la macchina si riavvia.
2. A distanza di esattamente una dword: 0x3ac e 0x3b4 ai lati leggono 00000000 a ~3.200 cicli e sono innocui.
3. Una scansione per-dword di 0x3a0–0x3fc trova 7 dword velenose intervallate da 17 sicure.
4. sudo busybox devmem 0xdc5003b0 32 e sudo dd if=/dev/mem bs=1 count=1 skip=$((0xdc5003b0)) mandano giù la macchina se preferisci saltare il passaggio intermedio.

Utilizzo

[!WARNING] Alcune piattaforme si resettano quando specifiche regioni di indirizzi vengono sondate da mmiotic. Fai attenzione a dove lo usi.

Selezione del target

La base e la dimensione ECAM vengono rilevate automaticamente da ACPI MCFG (/sys/firmware/acpi/tables/MCFG). Puoi sovrascriverle con -M, --mmio-base / -Z, --mmio-size.

Scansione

--find-target/--find-longest trasformano la scansione in ricerca:

Metodo di accesso

Output / esecuzione

Righe di risultato

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312  max:      480  stdev:      2.1  dynamic: 0  value: 8086abcd

-T aggiunge il suffisso cy ai conteggi di cicli e inserisce una coppia min/max di tempi scalati (-N li stampa come nanosecondi grezzi):

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312 cy  max:      480 cy  (   104 ns/   160 ns)  stdev:      2.1  dynamic: 0  value: 8086abcd

Setup

Compilazione:

make

Viene eseguito come root per ottenere accesso a /dev/mem.

Se vedi: mmap ... Operation not permitted, prova ad avviare con iomem=relaxed per rimuovere CONFIG_STRICT_DEVMEM:

# /etc/default/grub
GRUB_CMDLINE_LINUX="iomem=relaxed nopat"

Poi esegui sudo update-grub e riavvia.

Nel mondo reale

mmiotic è stato usato per portare avanti una varietà di ricerche interne ed esterne, a volte in modi inaspettati. Alcuni esempi di applicazioni di mmiotic:

• MCHAMMER: mmiotic calibra un'eccezione di machine check ritardata per la consegna di precisione dei segnali MC# in ambienti protetti.

• smiiiiiiiiiiiiiiii: mmiotic individua l'istruzione ad alta latenza per interrompere il rendezvous SMM.

• The Assembly Hall of Shame: mmiotic è ampiamente usato per l'importante problema della deottimizzazione delle prestazioni.

Autore

mmiotic è un progetto di ricerca di Christopher Domas (@xoreaxeaxeax).