mmiotic

MMIO タイミングを探索するためのツール — 任意の物理アドレスを計時し、レイテンシからハードウェアを解析します。

ハードウェアリバースエンジニアリング、ハイパーバイザーのフィンガープリンティング、デバイスアクティビティのサイドチャネル解析、レジスタ特性評価、悪意あるトリガーの校正、そして冗長極まりないマシン命令の作成に、驚くほど役立ちます。

例

メモリ範囲のリバースエンジニアリング

物理メモリの最初の 1 メガバイトは、その構造が既によく知られているにもかかわらず、始めるのに手頃な例です。

レイテンシの境界によって、報告されたレイアウトに頼ることなくアドレス空間を切り分けることができます。

1. シンプルなレイテンシスキャンから開始: sudo ./mmiotic --start-address 0x0 --end-address 0x100000 --stride 4 --count 20 --quiet-mmap
2. レイテンシは古典的な境界に乗ります — DRAM から 0x9FFFF までは約 380 cy、次に 128 KB のビデオホールがあり、0xB0000 で 2 つに分割されます。0x20000 での分散の変化は、NULL ページのページウォークが異なることを示している可能性があります。
3. A0000–AFFFF: 低速でジッタあり (996 cy、stdev 327)。電源は入っているがアイドル状態の Radeon にルーティングされています。B0000–BFFFF: 高速で安定 (780 cy、stdev 3.2、ffffffff を読み取り)。誰にも要求されていません。似たようなデータですが、分散には 100 倍の差があります。
4. C0000–FFFFF: /proc/iomem は「System ROM」と表示しますが、スキャン結果はフラッシュ速度ではなく DRAM レイテンシを示しています — BIOS は DRAM にシャドウされています。

未文書化メールボックスレジスタ

ルートコンプレックスのコンフィグ空間 (00:00.0、4 KB) をスキャンし、約 675 サイクルの平坦なフロアに対するレイテンシの外れ値を探します:

メールボックスのレイテンシは周囲のデータよりも著しく高く、重複したスパイクと同等の分散により、機能的に類似したレジスタを対応付けることができます。

1. ルートコンプレックスのコンフィグ空間をスキャン: sudo ./mmiotic --start-address 0xf8000000 --end-address 0xf8001000 --stride 4 --count 200
2. 外れ値は 2 つのダブルワード: オフセット 0xe4 (1218 cy、値 80e3110b) と 0xa4 (1199 cy、値 deadbeef)。e4 は文書化されたドアベルで、a4 は未文書化です。
3. ほぼ同一のレイテンシ、0x40 離れており、どちらもフロアをはるかに上回る — 同じオフダイターゲットに到達する 1 つのレジスタファミリであり、公開されているのは e4 のみです。
4. 値は異なります: deadbeef は未初期化/エラーのセンチネルとして読み取られます — 同じメールボックスで、a4 は未実装か、無効な入力が与えられています。

割り込みの校正

慎重に選択されたレイテンシは、珍しいエクスプロイトシナリオで使用できることがあります (MCHAMMER、smiiiiiiiiiiiiiiii):

ここでは、アイドル状態でドライバのない Radeon が、整列された 4 バイトの読み取り 1 回を約 100,000 サイクルのストールに変えます。

1. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e00100 --stride 4 --count 50 — GPU BAR (0x90e00000、256 KB) の先頭をスイープします。0x90e00008 は 110,152 cy かかります。16 バイト先の 0x90e00018 は再び高速で 1,523 — ページ単位ではなくレジスタ単位です。
2. sudo ./mmiotic --start-address 0x90e00000 --end-address 0x90e40000 --stride 4 --count 1 --binary — --binary はビット反転順でプローブするため、1,012 回のプローブ後、256 KB 全体のアパーチャが均一にカバーされ、すべてのレジスタが低速である連続した 48 KB ブロックがマッピングされます。
3. おそらく、このレイテンシは、クロック/パワーゲートされたドメインのゲートを解除するための SMU ラウンドトリップによるものです — つまり、レイテンシマップはドライバやデータシートなしで GPU の電源レイアウトを抽出します。

キラーピーク

理想的には、物理アドレスの読み取りは比較的安全な操作であるはずですが、mmiotic は例外を偶然見つけるのが特に得意です:

例えば、上記のプラットフォームでは、0xdc5003b0 の 1 バイト読み取り — ドライバのない Zen 4 iGPU レジスタ BAR (Region 5、0xdc500000、512 KB) のオフセット 0x3b0 — は、確実にシステムをリセットします。

1. sudo ./mmiotic --address 0xdc5003b0 --size 1 --count 1。出力なし。マシンは再起動します。
2. ちょうど 1 ダブルワード: 両側の 0x3ac と 0x3b4 は約 3,200 cy で 00000000 を読み取り、無害です。
3. 0x3a0–0x3fc の 1 ダブルワードごとのスイープでは、17 個の安全なダブルワードに 7 個の poison ダブルワードがインターリーブされています。
4. sudo busybox devmem 0xdc5003b0 32 と sudo dd if=/dev/mem bs=1 count=1 skip=$((0xdc5003b0)) は、仲介を省略したい場合にマシンを停止させます。

使用法

[!WARNING] 一部のプラットフォームでは、mmiotic によって特定のアドレス領域がプローブされるとリセットが発生します。使用場所には注意してください。

ターゲット指定

ECAM ベースとサイズは ACPI MCFG (/sys/firmware/acpi/tables/MCFG) から自動検出されます。-M, --mmio-base / -Z, --mmio-size で上書きします。

スキャン

--find-target/--find-longest はスキャンを検索に変えます:

アクセス方法

出力 / 実行

結果行

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312  max:      480  stdev:      2.1  dynamic: 0  value: 8086abcd

-T はサイクル数に cy を付け、スケーリングされた最小/最大時間ペアを挿入します (-N はそれらを生のナノ秒で表示):

b/d/f.o.l: 00:02:00.00.4  address: 00000000f0100000  min:      312 cy  max:      480 cy  (   104 ns/   160 ns)  stdev:      2.1  dynamic: 0  value: 8086abcd

セットアップ

ビルド:

make

/dev/mem へのアクセスを得るため root で実行します。

mmap ... Operation not permitted が表示される場合は、iomem=relaxed でブートして CONFIG_STRICT_DEVMEM を解除してみてください:

# /etc/default/grub
GRUB_CMDLINE_LINUX="iomem=relaxed nopat"

その後 sudo update-grub を実行して再起動します。

実世界での使用

mmiotic は、内部および外部のさまざまな研究を、時に予期しない形で前進させるために使用されてきました。mmiotic の応用例をいくつか示します:

• MCHAMMER: mmiotic は、保護された環境への MC# 信号の精密な配信のために、遅延マシンチェック例外を校正します。

• smiiiiiiiiiiiiiiii: mmiotic は、SMM ランデブーを破るための高レイテンシ命令を特定します。

• The Assembly Hall of Shame: mmiotic は、パフォーマンスの非最適化という重要な問題のために広範囲に使用されています。

作者

mmiotic は Christopher Domas (@xoreaxeaxeax) による研究プロジェクトです。