Smatch项目中的ARM64标记地址检测技术解析

2025-07-02 14:25:41作者：晏闻田Solitary

前言

在现代ARM64架构中，标记指针(Tagged Pointer)是一种重要的内存地址处理机制。error27/smatch项目提供了一套强大的静态分析工具，专门用于检测ARM64架构下标记指针与未标记指针之间的错误比较。本文将深入解析这一技术原理及其在Linux内核分析中的应用。

ARM64标记指针基础

ARM64架构允许在用户空间和内核空间之间传递带有标记的内存地址。这些标记地址的特点是最高字节(第56-63位)包含非零值，而硬件会自动忽略这些高位字节。然而，软件层面需要正确处理这些标记，否则可能导致潜在的安全问题和功能异常。

标记指针的主要特点包括：

最高字节(8位)可用于存储元数据
硬件自动忽略这些标记位
软件必须正确处理标记位，否则可能导致错误

Smatch检测机制原理

smatch通过静态代码分析来检测标记指针与未标记指针之间的潜在错误比较。其核心检测逻辑包含以下几个关键部分：

1. 未标记变量的识别

smatch通过以下方式识别未标记变量：

硬编码的已知结构体成员(如vm_start、vm_end、addr_limit)
硬编码的已知宏定义(如PAGE_SIZE、PAGE_MASK、TASK_SIZE)
从这些已知未标记变量派生的变量(限于函数作用域内)

2. 检测条件

检测仅在满足以下条件时触发：

ARCH环境变量设置为arm64
比较操作的一方是可能包含标记的用户空间来源的64位数据
比较操作的另一方是可能包含未标记地址的变量

3. 检测流程示例

典型的检测流程会产生如下警告信息：

mm/gup.c:818 __get_user_pages() warn: comparison of a potentially tagged address (__get_user_pages, 2, start)

这表示在mm/gup.c文件的818行，可能存在标记地址(start变量，来自函数第二个参数)与未标记地址(vma->vm_end)之间的比较。

实用分析工具

smatch提供了一系列实用工具来辅助分析标记指针问题：

1. 调用链追踪

使用find_tagged命令可以追踪标记地址的传递路径：

smdb.py find_tagged __get_user_pages 2

该命令会显示所有可能调用__get_user_pages的函数，并标识出哪个参数可能包含标记地址。

2. 警告汇总分析

使用parse_warns_tagged命令可以汇总分析所有检测到的标记地址问题：

smdb.py parse_warns_tagged smatch_warns.txt

3. 完整调用树查看

要查看完整的函数调用树(不限于标记地址相关)：

smdb.py call_tree __get_user_pages

代码注解与误报处理

为了减少误报，smatch支持通过__untagged属性注解函数参数：

unsigned long do_mmap(struct file *file, unsigned long addr,
        unsigned long __untagged len, unsigned long prot,
        unsigned long flags, vm_flags_t vm_flags,
        unsigned long pgoff, unsigned long *populate,
        struct list_head *uf)

添加__untagged注解后，smatch会将相应参数视为未标记地址，不再报告相关警告。需要注意的是，由于参数跟踪的限制，某些注解可能无法完全传播到整个调用树。

内核补丁要求

要在Linux内核中使用__untagged注解，需要添加以下补丁：

diff --git a/include/linux/compiler_types.h b/include/linux/compiler_types.h
index 19e58b9138a0..755e8df375a5 100644
--- a/include/linux/compiler_types.h
+++ b/include/linux/compiler_types.h
@@ -19,6 +19,7 @@
 # define __cond_lock(x,c)      ((c) ? ({ __acquire(x); 1; }) : 0)
 # define __percpu      __attribute__((noderef, address_space(3)))
 # define __rcu         __attribute__((noderef, address_space(4)))
+# define __untagged    __attribute__((address_space(5)))
 # define __private     __attribute__((noderef))
 extern void __chk_user_ptr(const volatile void __user *);
 extern void __chk_io_ptr(const volatile void __iomem *);
@@ -45,6 +46,7 @@ extern void __chk_io_ptr(const volatile void __iomem *);
 # define __cond_lock(x,c) (c)
 # define __percpu
 # define __rcu
+# define __untagged
 # define __private
 # define ACCESS_PRIVATE(p, member) ((p)->member)
 #endif /* __CHECKER__ */