Mayhem：针对寄存器与栈变量的定向破坏

在过去十年中，微架构中发现了许多漏洞，这些漏洞产生了攻击向量并推动了对对策的研究。此外，DRAM 中的架构与物理缺陷导致了 Rowhammer 攻击的发现，使攻击者能够在受害者的内存空间中引入比特翻转。大量研究分析了 Rowhammer 并提出了完全防止或减轻其影响的技术。在这项工作中，我们推进了边界，展示了如何进一步利用 Rowhammer 向受害者进程中的栈变量甚至寄存器值注入故障。我们通过针对存储在进程栈中的寄存器值来实现这一点，该值随后被换出到内存中，从而变得易受 Rowhammer 攻击。当错误值被恢复进寄存器时，它将在后续迭代中被使用。寄存器值可通过源码中潜在的函数调用或主动触发信号处理程序而存储在栈中。我们通过将该技术应用于绕过 SUDO 和 SSH 认证来展示这些发现的威力。我们进一步概述了如何利用这一新攻击向量瞄准 MySQL 及其他加密库。在形成对 OpenSSL 数字签名的端到端攻击之前，本工作通过大量实验克服了一系列挑战：实现与栈和寄存器变量的共置，并通过阻塞窗口提供同步。我们表明栈和寄存器不再对 Rowhammer 攻击安全。