利用循环预测执行机制实现新型瞬态执行攻击

来源：电子与信息学报杂志2025年第9期北京时间：

作者：郭佳益, 邱朋飞, 苑洁, 蓝泽如, 王春露, 张吉良, 汪东升

单位：1.北京邮电大学网络空间安全学院 北京 1008762.北京邮电大学可信分布式计算与服务教育部重点实验室 北京 1008763.南京邮电大学集成电路科学与工程学院 南京 2100234.清华大学计算机科学与技术系 北京 1000845.中关村国家实验室 北京 100194

摘要：现代处理器广泛采用的分支预测技术虽然提升了指令流水线效率，但其推测执行机制产生的瞬态执行窗口已成为攻击的突破口。该文对现代处理器的分支预测技术进行了详细的分析，并对X86指令集中的指令进行了瞬态窗口的测量，发现X86架构中基于RCX寄存器值进行分支预测的循环指令(LOOP, LOOPZ和LOOPNZ)以及JRCXZ指令能够导致潜在的瞬态执行攻击。基于此，该文构建了一种新型瞬态攻击原语，成功实现了4类攻击场景：(1)跨用户态/内核态边界实现数据泄露；(2)突破同步多线程(SMT)隔离构建隐蔽信道；(3)穿透Intel SGX安全区进行私密数据窃取；(4)推测内核地址空间布局随机化(KASLR)防护机制的内核基址。该文提出的攻击方法在真实处理器环境中得到验证，其攻击成功率较传统JCC指令实现方案平均提升90%。

关键词：瞬态执行攻击, 循环预测机制, 推测执行, 分支预测, 微架构安全

基金资助：国家自然科学基金(U24A20289, 62372258)，北京市自然科学基金(4242026)