参考
Linker Script in Linux (3.1.1 Exception Table)
Linux异常表
linux Oops和Panic关系
环境
ARM64
Linux-5.8
场景
用户通过系统调用给内核传递了一个参数，这个参数有一个该用户地址空间的地址，然后内核在访问时会发生什么情况呢？如果这个用户空间地址处于当前进程的有效vma中，那么正常的缺页异常可以处理。
但是如果这个参数是一个非法的用户地址，内核访问的话，会发生什么现象呢？
测试程序
驱动
static ssize_t fixup_read (struct file *filp, char __user *buf, size_t count, loff_t *fpos)
{
int err;
err = put_user(10, buf);
printk("%s: %d\n", __func__, err);
return count;
}
用户程序
int main(int argc, const char *argv[])
{
int fd;
char *buf;
fd = open("/dev/fixup", O_RDWR);
buf = 0x4000000;
printf("read buf\n");
read(fd, buf, 5);
return 0;
}
内核log
[11131.867589] fixup_read: -14
可以看到put_user返回了错误码：-EFAULT。背后发生了什么呢？内核在访问这个非法用户地址的时候，确实发生了缺页异常，不过在缺页异常中使用这里说的exception_table进行了修复，返回了错误码。要完成这个功能，需要依赖put_user和缺页异常的支持。
原理
-
put_user的实现在arch/arm64/include/asm/uaccess.h中：
#define _ASM_EXTABLE(from, to) \
" .pushsection __ex_table, \"a\"\n" \
" .align 3\n" \
" .long (" #from " - .), (" #to " - .)\n" \
" .popsection\n"
#define __put_mem_asm(store, reg, x, addr, err) \
asm volatile( \
"1: " store " " reg "1, [%2]\n" \
"2:\n" \
" .section .fixup,\"ax\"\n" \
" .align 2\n" \
"3: mov %w0, %3\n" \
" b 2b\n" \
" .previous\n" \
_ASM_EXTABLE(1b, 3b) \
: "+r" (err) \
: "r" (x), "r" (addr), "i" (-EFAULT))
#define __raw_put_mem(str, x, ptr, err) \
do { \
__typeof__(*(ptr)) __pu_val = (x); \
switch (sizeof(*(ptr))) { \
case 1: \
__put_mem_asm(str "b", "%w", __pu_val, (ptr), (err)); \
break; \
case 2: \
__put_mem_asm(str "h", "%w", __pu_val, (ptr), (err)); \
break; \
case 4: \
__put_mem_asm(str, "%w", __pu_val, (ptr), (err)); \
break; \
case 8: \
__put_mem_asm(str, "%x", __pu_val, (ptr), (err)); \
break; \
default: \
BUILD_BUG(); \
} \
} while (0)
#define __raw_put_user(x, ptr, err) \
do { \
__chk_user_ptr(ptr); \
uaccess_ttbr0_enable(); \
__raw_put_mem("sttr", x, ptr, err); \
uaccess_ttbr0_disable(); \
} while (0)
#define __put_user_error(x, ptr, err) \
do { \
__typeof__(*(ptr)) __user *__p = (ptr); \
might_fault(); \
if (access_ok(__p, sizeof(*__p))) { \
__p = uaccess_mask_ptr(__p); \
__raw_put_user((x), __p, (err)); \
} else { \
(err) = -EFAULT; \
} \
} while (0)
#define __put_user(x, ptr) \
({ \
int __pu_err = 0; \
__put_user_error((x), (ptr), __pu_err); \
__pu_err; \
})
#define put_user __put_user
重点关注下面的内容：
#define _ASM_EXTABLE(from, to) \
" .pushsection __ex_table, \"a\"\n" \
" .align 3\n" \
" .long (" #from " - .), (" #to " - .)\n" \
" .popsection\n"
#define __put_mem_asm(store, reg, x, addr, err) \
asm volatile( \
"1: " store " " reg "1, [%2]\n" \
"2:\n" \
" .section .fixup,\"ax\"\n" \
" .align 2\n" \
"3: mov %w0, %3\n" \
" b 2b\n" \
" .previous\n" \
_ASM_EXTABLE(1b, 3b) \
: "+r" (err) \
: "r" (x), "r" (addr), "i" (-EFAULT))
上面用到了两个section，.fixup和__ex_table，当1b处的代码写addr触发了异常后，在缺页异常里搜索1b对应的__ex_table，异常返回后跳转到上面.fixup中3b处，然后将错误码-EFAULT存入err中，最后跳转到异常指令1b的下一行2b继续执行。
在每一个__ex_table中存放了两个偏移量，分别是异常指令的地址1b和修改指令的地址3b跟当前地址的偏移，这样遍历__ex_table数组的时候可以很容易获得1b和3b的地址。
在内核的链接脚本中有专门存放__ex_table和.fixup的段：
/*
* Exception table
*/
#define EXCEPTION_TABLE(align) \
. = ALIGN(align); \
__ex_table : AT(ADDR(__ex_table) - LOAD_OFFSET) { \
__start___ex_table = .; \
KEEP(*(__ex_table)) \
__stop___ex_table = .; \
}
.text : ALIGN(SEGMENT_ALIGN) { /* Real text segment */
_stext = .; /* Text and read-only data */
IRQENTRY_TEXT
SOFTIRQENTRY_TEXT
ENTRY_TEXT
TEXT_TEXT
SCHED_TEXT
CPUIDLE_TEXT
LOCK_TEXT
KPROBES_TEXT
HYPERVISOR_TEXT
IDMAP_TEXT
HIBERNATE_TEXT
TRAMP_TEXT
*(.fixup)
*(.gnu.warning)
. = ALIGN(16);
*(.got) /* Global offset table */
}
- 内核缺页
do_translation_fault
---->do_page_fault
---->__do_kernel_fault
---->fixup_exception
int fixup_exception(struct pt_regs *regs)
{
const struct exception_table_entry *fixup;
fixup = search_exception_tables(instruction_pointer(regs));
if (!fixup)
return 0;
if (in_bpf_jit(regs))
return arm64_bpf_fixup_exception(fixup, regs);
regs->pc = (unsigned long)&fixup->fixup + fixup->fixup;
return 1;
}
instruction_pointer(regs)返回异常指令的地址，也就是上面的1b,然后调用search_exception_tables搜索，搜索顺序是先从内核的__start___ex_table ~ __stop___ex_table搜索，如果没有找到，那么会依次从内核module和bpf里搜索。
/* Given an address, look for it in the exception tables. */
const struct exception_table_entry *search_exception_tables(unsigned long addr)
{
const struct exception_table_entry *e;
e = search_kernel_exception_table(addr); // 静态编译到内核中的
if (!e)
e = search_module_extables(addr); // 从内核module里搜索
if (!e)
e = search_bpf_extables(addr); // 从bpf里搜索
return e;
}
search_kernel_exception_table的实现如下：
/* Given an address, look for it in the kernel exception table */
const
struct exception_table_entry *search_kernel_exception_table(unsigned long addr)
{
return search_extable(__start___ex_table,
__stop___ex_table - __start___ex_table, addr);
}
search_extable的实现如下：
struct exception_table_entry
{
int insn, fixup;
};
static inline unsigned long ex_to_insn(const struct exception_table_entry *x)
{
return (unsigned long)&x->insn + x->insn;
}
static int cmp_ex_search(const void *key, const void *elt)
{
const struct exception_table_entry *_elt = elt;
unsigned long _key = *(unsigned long *)key;
/* avoid overflow */
if (_key > ex_to_insn(_elt))
return 1;
if (_key < ex_to_insn(_elt))
return -1;
return 0;
}
/*
* Search one exception table for an entry corresponding to the
* given instruction address, and return the address of the entry,
* or NULL if none is found.
* We use a binary search, and thus we assume that the table is
* already sorted.
*/
const struct exception_table_entry *
search_extable(const struct exception_table_entry *base,
const size_t num,
unsigned long value)
{
return bsearch(&value, base, num,
sizeof(struct exception_table_entry), cmp_ex_search);
}
对于遍历到的每一个__ex_table都会调用cmp_ex_search，第一个参数key中存放的是&value，第二个参数存放的是当前__ex_table的地址，_key中存放的是异常指令1b的地址，ex_to_insn(_elt)返回记录的异常指令1b的地址（__ex_table的地址+偏移），如果二者相等，表示__ex_table就是我们想要的。
最后回到 fixup_exception中，search_exception_tables返回找到的__ex_table，然后计算修复指令的地址(unsigned long)&fixup->fixup + fixup->fixup(地址+偏移)，将结果复制给pc寄存器，这样当异常返回后就会跳转到修复指令的地址开始执行，也就是上面提到的3b位置。
完。