编写 MIPS 机器指令并从 C 中执行它们

Question

我正在尝试用 C 和 MIPS 编写一些自我修改的代码。

因为我想稍后修改代码，所以我正在尝试编写实际的机器指令（而不是内联汇编）并尝试执行这些指令。有人告诉我，可以只需 malloc 一些内存，在那里编写指令，将 C 函数指针指向它，然后跳转到它。（我包括下面的示例）

我已经用我的交叉编译器（sourcery codebench 工具链）尝试了这个，但它不起作用（是的，事后看来，我认为它确实看起来相当幼稚）。我怎样才能正确地做到这一点？

#include <stdio.h>
#include <stdlib.h>
#include <stdint.h>


void inc(){
    int i = 41;
    uint32_t *addone = malloc(sizeof(*addone) * 2); //we malloc space for our asm function
    *(addone) = 0x20820001; // this is addi $v0 $a0 1, which adds one to our arg (gcc calling con)
    *(addone + 1) = 0x23e00000; //this is jr $ra

    int (*f)(int x) = addone; //our function pointer
    i = (*f)(i);
    printf("%d",i);    
}

int main(){
    inc();
exit(0);}

我在这里遵循 gcc 调用约定，其中参数传递给 $a0，函数的结果预计在 $v0 中。我实际上不知道返回地址是否会被放入 $ra （但我还不能测试它，因为我无法编译。 我在指令中使用 int，因为我正在编译 MIPS32（因此 32 位 int 就足够了）

Answer 1

编写的 OP 代码使用 Codesourcery mips-linux-gnu-gcc 编译时不会出错。

正如上面其他人所提到的，MIPS 上的自修改代码需要在编写代码后将指令缓存与数据缓存同步。 MIPS 架构的 MIPS32R2 版本添加了 SYNCI instruction，这是一个用户模式指令，可以满足您的需要。所有现代 MIPS CPU 都实现了 MIPS32R2，包括 SYNCI。

内存保护是 MIPS 上的一个选项，但大多数 MIPS CPU 在构建时并未选择此功能，因此在大多数真正的 MIPS 硬件上可能不需要使用 mprotect 系统调用。

请注意，如果您使用除 -O0 之外的任何优化，编译器可以并且确实优化了对 *addone 的存储和函数调用，这会破坏您的代码。使用 volatile 关键字可防止编译器执行此操作。

以下代码生成正确的 MIPS 程序集，但我没有方便的 MIPS 硬件来测试它：

int inc() {
    volatile int i = 41;
    // malloc 8 x sizeof(int) to allocate 32 bytes ie one cache line,
    // also ensuring that the address of function addone is aligned to
    // a cache line.
    volatile int *addone = malloc(sizeof(*addone) * 8);
    *(addone)     = 0x20820001; // this is addi $v0 $a0 1
    *(addone + 1) = 0x23e00000; //this is jr $ra
    // use a SYNCI instruction to flush the data written above from
    // the D cache and to flush any stale data from the I cache
    asm volatile("synci 0(%0)": : "r" (addone));
    volatile int (*f)(int x) = addone; //our function pointer
    int j = (*f)(i);
    return j;
}

int main(){
    int k = 0;
    k = inc();
    printf("%d",k);    
    exit(0);
}

Answer 2

您不恰当地使用了指针。或者，更准确地说，你没有在你应该在的地方使用指针。

试穿一下尺寸：

uint32_t *addone = malloc(sizeof(*addone) * 2);
addone[0] = 0x20820001; // addi $v0, $a0, 1
addone[1] = 0x23e00000; // jr $ra

int (*f)(int x) = addone; //our function pointer
i = (*f)(i);
printf("%d\n",i);

您可能还需要在写入内存后，但在调用它之前将其设置为可执行：

mprotect(addone, sizeof(int) * 2, PROT_READ | PROT_EXEC);

要完成这项工作，您可能还需要分配一个相当大的内存块（4k 左右），以便地址与页面对齐。

Answer 3

您还需要确保有问题的内存是可执行的，并确保它在写入后从 dcache 中正确刷新并在执行前加载到 icache 中。如何做到这一点取决于您的 mips 机器上运行的操作系统。

在 Linux 上，您可以使用 mprotect 系统调用来使内存可执行，并使用 cacheflush 系统调用来执行缓存刷新。

编辑

例子：

#include <unistd.h>
#include <sys/mman.h>
#include <asm/cachecontrol.h>

#define PALIGN(P)  ((char *)((uintptr_t)(P) & (pagesize-1)))
uintptr_t  pagesize;

void inc(){
    int i = 41;
    uint32_t *addone = malloc(sizeof(*addone) * 2); //we malloc space for our asm function
    *(addone) = 0x20820001; // this is addi $v0 $a0 1, which adds one to our arg (gcc calling con)
    *(addone + 1) = 0x23e00000; //this is jr $ra

    pagesize = sysconf(_SC_PAGESIZE);  // only needs to be done once
    mprotect(PALIGN(addone), PALIGN(addone+1)-PALIGN(addone)+pagesize,
             PROT_READ | PROT_WRITE | PROT_EXEC);
    cacheflush(addone, 2*sizeof(*addone), ICACHE|DCACHE);

    int (*f)(int x) = addone; //our function pointer
    i = (*f)(i);
    printf("%d",i);    
}

请注意，我们使包含代码的整个页面既可写又可执行。这是因为内存保护在每个页面都有效，我们希望 malloc 能够继续将页面的其余部分用于其他事情。您可以改为使用valloc 或memalign 来分配整个页面，在这种情况下，您可以使代码安全地只读可执行。

Answer 4

调用函数比仅仅跳转到一条指令要复杂得多。

• 如何传递参数？它们是存储在寄存器中，还是推送到调用堆栈？

• 如何返回值？

• 返回跳转的返回地址放在哪里？如果你有一个递归函数，$ra 不会削减它。

• 是调用者还是被调用者负责在被调用函数完成时弹出栈帧？

不同的calling conventions对这些问题有不同的答案。尽管我从未尝试过像您正在做的事情，但我假设您必须编写机器代码以匹配约定，然后告诉编译器您的函数指针使用该约定（不同的编译器有不同的执行方式这个 - gcc does it with function attributes)。