MIPS是一种采取精简指令集（RISC）的指令集架构，突出特点是高性能，广泛被使用在许多电子产品、网络设备、个人娱乐设备与商业设备上，在路由器领域也被广泛应用。虽然今年MIPS所属公司已经宣布放弃对该架构继续进行研发设计，但是其作为x86、arm之后的第三大CPU架构阵营，现在市面上仍有大量的MIPS架构的产品，尤其是路由器芯片。此外，MIPS在学术界也非常受到追捧，很多超算竞赛冠军的设计方案都是MIPS的。就目前来看，MIPS的安全研究还是相对较为有意义的。
MIPS架构基础知识
常用汇编与流水线操作 在MIPS PWN中所常用到的汇编指令如下表所示:
MIPS架构为精简指令集, 常见的MIPS芯片流水线操作为五级, 如下图
其中IF =指令提取，ID =指令解码，EX =执行，MEM =存储器访问，WB =寄存器写回. 垂直轴是连续的指令: 横轴是时间. 在图示的情况中，最早的指令处于WB阶段，而最新的指令正在进行指令提取. 对于跳转/分支指令, 当其到达执行阶段且新的程序计数器已经产生时, 紧随其后的下一条指令实际上已经开始执行了. MIPS 规定分支之后的指令总是在分支目标指令之前执行，紧随分支指令之后的位置称为 分支延迟槽. 在没有任何可用操作时，延迟槽将填充空指令（nop）占位. 例如下面这段MIPS汇编代码中,
“`move $a0, $s1“`会在“`jalr“`跳转前执行
.text:0007F944 move $t9, $s0
.text:0007F948 jalr $t9
.text:0007F94C move $a0, $s1
这个特性在我们查找gadgets和构造payload的时候要多注意, 这也是MIPS上的PWN相比x86架构来说较为特殊的点之一.
寄存器与调用约定 常用的MIPS寄存器作用如下:
- “`\$a0“` – “`\$a3“`：函数调用时的参数传递，若参数超过 4 个，则多余的使用堆栈传递
- “`\$t0“`-“`\$t7“`：临时寄存器
- “`\$s0“` – “`\$s7“`：保存寄存器，使用时需将用到的寄存器保存到堆栈
- “`\$gp“`：全局指针，用于取数据（32K访问内）；“`\$sp“`：栈指针，指向栈顶
- “`\$fp“`：栈帧指针；“`\$ra“`：存储返回地址
MIPS的调用约定为被调用者实现堆栈平衡, 参数 1 ~ 4 分别保存在
“`\$a0“` ~ “`\$a3“` 寄存器中，剩下的参数从右往左依次入栈. MIPS的栈布局如下图所示, 某寄存器在堆栈中的位置不是确定的, 例如“`\$ra“`在某函数栈中的偏移是“`\$sp“`+N, 而在另一函数栈中的偏移是“`\$sp“`+M.
当CPU执行跳转到被调用函数后, 被调用函数将会开辟新的栈帧, 根据本函数内是否还有其他函数调用决定是否将
“`\$ra“` 入栈, 再将“`\$sp“` 入栈. 对于“`\$ra“`, 当本函数为叶子函数(函数内无其他函数调用), 则“`\$ra“`不入栈, 否则将“`\$ra“`入栈. 对于栈溢出攻击而言, 当函数为非叶子函数时, 可以直接通过覆盖栈上的“`\$ra“`来劫持控制流.
缓存非一致性
继续阅读“MIPS PWN 入门”