ebpf：验证 LD_ABS 和 LD_IND 指令

Question

我正在阅读验证程序代码，特别是验证LD_ABS和LD_IND指令安全性的部分 (check_ld_abs())。 正如评论所说，这些指令隐含地期望在r6寄存器中输入，即这是我们必须加载指向__sk_buff的指针的地方。 所以我验证了以下BPF_PROG_TYPE_SOCKET_FILTER类型的程序会被验证者拒绝：

struct bpf_insn prog[] = {
    BPF_LD_ABS(BPF_B, offsetof(struct iphdr, protocol)),
    /* exit with value 0 */
    BPF_MOV64_IMM(BPF_REG_0, 0),
    BPF_EXIT_INSN(),
};

...

>> 0: (30) r0 = *(u8 *)skb[9]
R6 !read_ok

即它需要在LD_ABS之前准备r6 ：

BPF_MOV64_REG(BPF_REG_6, BPF_REG_1)

但是，评论还提到了显式输入（在这种情况下，输入可以是任何寄存器）？ 它仅由LD_IND使用吗？ 与隐式模式有什么区别？

谢谢。

Answer 1

这不是隐式或显式模式。 这些指令只需要几个arguments ，其中一些是隐式的，其中一些是显式的。

• 上下文是隐式的，因为正如您所解释的，它必须在r6中引用，这意味着它没有被用户显式传递给指令：您在BPF_LD_ABS(BPF_B, offsetof(struct iphdr, protocol))不到r6 BPF_LD_ABS(BPF_B, offsetof(struct iphdr, protocol)) . 指令将期望来自该寄存器的上下文是一个隐式约定。

• 相比之下，指令也使用的源寄存器和立即值是字节码中指令本身的一部分，使它们成为显式的 arguments。

kernel 文档在一定程度上证实了这一点：

eBPF 有两个非通用指令：(BPF_ABS | | BPF_LD) 和 (BPF_IND | | BPF_LD) 用于访问数据包数据。

它们必须从经典继承，才能在 eBPF 解释器中运行的套接字过滤器具有强大的性能。 这些指令只能在解释器上下文是指向struct sk_buff的指针并且有七个隐式操作数时使用。 寄存器 R6 是一个隐式输入，必须包含指向 sk_buff 的指针。 寄存器 R0 是一个隐含的 output，其中包含从数据包中获取的数据。 寄存器 R1-R5 是暂存寄存器，不得用于跨 BPF_ABS | 存储数据。 BPF_LD 或 BPF_IND | BPF_LD 指令。

提醒一句：

• LD_ABS从绝对地址加载数据，从上下文的开头（存储在r6中）开始，并添加包含在imm字段中的偏移量。 数据存储到r0 （隐式输出）。 它不使用src寄存器。

• LD_IND执行间接加载，它首先使用src寄存器中的（变量）值偏移上下文，然后添加（固定） imm值作为第二个偏移量以到达要加载到r0的字节。