如何验证Visual Studio 2017中使用的Spectre Mitigation标志是否适用于C ++？

Question

我想看看幽灵缓解标志如何解决了一个问题，以说服我的团队，我们需要将此标志添加到大型代码库中以用于即将进行的项目。

我正在搜索具有幽灵漏洞的示例项目，并通过添加上周在Visual Studio 2017中引入的幽灵缓解标志来解决。

有人可以帮我介绍一下POC以便向我的更大团队进行演示，关于Microsoft最近在Visual Studio中添加的支持如何解决了这个问题？

这是Microsoft针对VS 2017的最新发行说明 。

提问至：2018年8月23日

为了寻求答案，我尝试使用以下代码形式创建Microsoft Spectre Mitigation页面：

#include "stdafx.h"
int G, G1, G2;

__forceinline
int * bar(int **p, int i)
{
    return p[i];
}

__forceinline
void bar1(int ** p, int i)
{
    if (i < G1) {
        auto x = p[i]; // mitigation here
        G = *x;
    }
}

__forceinline
void foo(int * p)
{
    G = *p;
}

void baz(int ** p, int i)
{
    if (i < G1) {
        foo(bar(p, i + G2));
    }
    bar1(p, i);
}

int main()
{
    return 0;
}

当我在启用幽灵缓解标志的情况下编译代码时：

项目属性>配置属性> C / C ++>减轻Spectre>已启用

还需要进行三项其他更改以合并此更改：

1. 在优化中从/ Od更改为/ O2

项目属性>配置属性> C / C ++>优化> / O2

2. 基本运行时检查为默认值

项目属性>配置属性> C / C ++>代码生成>基本运行时检查>默认

3. 将VC库目录添加到链接器路径

项目属性>配置属性>链接器>常规>其他库目录> C：\\ Program Files（x86）\\ Microsoft Visual Studio \\ 2017 \\ Enterprise \\ VC \\ Tools \\ MSVC \\ 14.15.26726 \\ lib \\ x86

注意：不要像这样对路径进行硬编码

C：\\ Program Files（x86）\\ Microsoft Visual Studio \\ 2017 \\ Enterprise \\ VC \\ Tools \\ MSVC \\ 14.15.26726 \\ lib \\ x86

，您可以像这样使用Visual Studio变量：

$（VCToolsInstallDir）\\ LIB \\ 86 \\

我得到以下输出：

C：\\ Program Files（x86）\\ Microsoft Visual Studio \\ 2017 \\ Enterprise \\ Common7 \\ IDE \\ VC \\ VCTargets \\ Microsoft.CppBuild.targets（402,5）：警告MSB8038：启用了幽灵缓解功能，但未找到幽灵缓解库。 验证Visual Studio工作负载是否包括Spectre缓解库。 有关更多信息，请参见https://aka.ms/Ofhn4c 。

我目前不知道该怎么办。 我得到了一个输出可执行文件，但我希望幽灵缓解功能是可测试的。 请帮我。

Answer 1

我修改了VS 2017 Installer并将安装与Microsoft页面中默认选择的项目进行了比较，以消除Spectre Mitigation 。

我没有注意到“单个组件”选项卡。 在选项卡中，我错过了一些重要的依赖项（感谢@Retired Ninja）。 安装后，该消息停止出现在构建中以减轻幽灵的示例。

但是，我仍在寻找更具体的用例。

Answer 2

以下文章围绕Spectre漏洞家族进行了有趣的讨论，并提供了示例代码来测试Visual Studio的缓解技术。 也许您可以使用其中一些代码来组合一个具体的示例（尽管开发可能很难）。

https://www.paulkocher.com/doc/MicrosoftCompilerSpectreMitigation.html