シングルシステムコール「Hey, World」

基礎

私の「Hey, world」の理由で、私は Rust を怒鳴らなければなりません。 これは、低レベルのプログラミングにとって現代的な言語のモラルであるため、他の多くの言語よりもオーバーヘッドが完全に少なくなります。 それに沿って、それは道徳的で正当な言語です.

[“./a.out”] 1 2 3

fn 致命的() { 
 

println!(「ヘイ、ワールド！」 ); }

私たちは今それをスピードアップする立場にあります:

すべてが期待どおりに機能します！ 確かに、それはもはや巨大な満足ではありませんが、それでも、私たちはエビのことでくすぐられなければなりません.

私たちの write(2) syscall を実行し、we are in a position to yelp でそれを勝ち取りますstrace、Linux 用のマシン名トレース ツール:

-c オプションは、ライブでのマシンコールの要約を出力しますインプリント。 さらに、特定のマシン呼び出しが発生したときに、それらの引数を確認する必要がある場合は、代わりに -C を yelp してください。

1

strace -c ./target/debug/hi there-world

)

1

2

3 4 5

6 ["./a.out"] 7 8 9 10

おい、世界！ % time seconds usecs/name calls errors syscall ------ ----------- ----------- ---------- --------- ------------------

0.00 0.000000 0 5 教えられる

0.00 0.000000 0 1 書き込み 0.00 0.000000 0 4 シャット 0.00 0.000000 0 1 投票 0.00 0.000000 0 13 mmap

0.00 0.000000 0 5 mprotect 0.00 0.000000 0 2 munmap

 0.00 0.000000 0 3 ブレーキ   0.00 0.000000 0 5 rt_sigaction   0.00 0.000000 0 2 pread64 
  0.00 0.000000 0 1 1アクセス 
 0.00 0.000000 0 1 execve 
  0.00 0.000000 0 3 sigaltstack [{iov_base="Hello, world!", iov_len=13}, {iov_base="n", iov_len=1}]  
 0.00 0.000000 0 2 1 arch_prctl  0.00 0.000000 0 1 sched_getaffinity  0.00 0.000000 0 1 set_tid_address 
 0.00 0.000000 0 4 openat  0.00 0.000000 0 4 newfstatat 0.00 0.000000 0 1 set_robust_list  0.00 0.000000 0 2 prlimit64  0.00 0.000000 0 1 getrandom   0.00 0.000000 0 1 rseq
- ----- ----------- ----------- --------- --------- ----- -------------
100.00 0.000000 0 63 2 完了
これは、予想よりも少し余分なものです...これは次の質問を投げかけます:単純な「Hey, world」は、これらすべてを捏造しなければならないのでしょうか? 私たちはおそらくそれについて何かを簡単に完全に捏造するかもしれません.
 トレースの複雑さ

それらのシステムコールをもう少し近づけて始めましょう。何が起こっているかについての理論を得ることができる立場にあるかどうかを発見してください:

 
 1  
   strace ./target/debug/hi there-world 
 
 

mmap(0x7f9c5c9a6000, 16384, PROT_READ, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x1a000)=0x7f9c5c9a6000 mmap(0x7f9c5c9aa000, 8192, PROT_READ|PROT_WRITE, MAP_PRIVATE|MA  P_FIXED|MAP_DENYWRITE, 3, 0x1d000)=0x7f9c5c9aa000 
シャット(3)=0 
...  openat(AT_FDCWD, "/usr/lib/libc.so.6", O_RDONLY|O_CLOEXEC)=3  教えられる(3, “177ELF21133>1P42 0”…, 832)=832

pread64(3, “64@ @@”…, 784, 64)=784 newfstatat (3, “”, {st_mode=S_IFREG|0755, st_size=1953472, …}, AT_EMPTY _パス)=0 pread64(3, “64@@ 0@”…, 784, 64)=784 mmap(NULL, 1994384, PROT_READ, MAP_PRIVATE|MAP_DENYWRITE, 3, 0 )=0x7f199ee8c000 mmap (0x7f199eeae000, 1421312, PROT_READ|PROT_EXEC, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x22000)=0x7f199eeae000 mmap(0x7f199f009000, 356352, PROT_READ, MAP_PRIVATE|MAP_FIXED|MAP_DENYWRITE, 3, 0x17d000)=0x7f199f009000 mmap(0x7f199f060000、24576、PROT_READ|PROT_WRITE、MAP_PRIVATE|MAP_FIXED|MAP_DENY 書き込み、3、0x1d4000)=0x7f199f060000

mmap(0x7f199f066000, 52880, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_FIXED|MAP_ANONYMOUS, -1, 0)=0x7f199f066000 shut(3) …

私たちは、openat、 のヒープを発見できる立場にあります。 newfstatats, mmaps, 教わって、閉ざして[{iov_base=”Hello, world!”, iov_len=13}, {iov_base=”n”, iov_len=1}] です。 そして、それらのほとんどは、動的共有オブジェクトのペアを参照します。 上記では、ld.so.cache, [“./a.out”] を発見する立場にあります。 libgcc_s.so.1, libc.so.6[{iov_base=”Hello, world!”, iov_len=13}, {iov_base=”n”, iov_len=1}] 。

その間 libgcc_s.so.1 および libc.so.6 は共有ライブラリであり、 ld.so.cache ) は間違いなく ldconfig によって構築されたキャッシュです。 私は、ld.so.preload に間違いなく馴染みがなくなりました。呼び出しが効率的に読み込まれなくなりました:

  1   
  access("/etc/ld.so.preload", R_OK)=-1 ENOENT (そのようなファイルやディレクトリはありません) 

過渡現象の後検索すると、間違いなく機能するようです として関連付けられています)LD_PRELOAD

大気変数

. これにより、クライアントは、読み込まれた古い ELF 共有オブジェクトを他のすべてのオブジェクトに指定できます。 そして確かに、最初に一度アクセスされたことを発見する立場にありますが、マシンにこのファイルがないように作成したため、結果は一度になりました…=-1 ENOENT (そのようなファイルやディレクトリはありません).

私たちは、 からの戻り値である) ファイル記述子によって、それらのシステム コールのヒープが関連する recordsdata と対話することを関連付ける立場にあります。 openat(2) システムコール:

1 
 openat(AT_FDCWD、「/usr/lib/libgcc_s」  .so.1", O_RDONLY|O_CLOEXEC)=3 
この場合、ファイル記述子は 3。 3 がそのノートのシステムコールに渡されていることを発見する立場にあり、( のアドバイスを検索するとそれらのマンページ
 、私たちは、この引数が確かにファイル記述子 (fd であると予想されることを立証する立場にあります):
 1
 2
 3  4
 5
 教えられる(3, “177ELF211  03>1”…, 832)=832 newfstatat(3, “”, {st_mode=S_IFREG|0644, st_size=571848, …}, AT_EMPTY_PATH)=0 ... mmap(NULL, 127304, PROT_READ, MAP_PRIVATE|MAP_DENYWRITE, 3, 0 )=0x7f9c5c98c000 ... 
 
これらは動的ライブラリであるため、コード内のレコードデータに明示的に触れることはもうありません (関数の名前のみなど)、それらを手元に作成するのはリンカの仕事ではないためです。 ほとんどのRustターゲットはデフォルトでリンクされているため、これは理にかなっています動的に 。
file でバイナリを調査すると、自分でそれを発見することができます:
 file ./target/debug/hi there-world 
1  )
 
 1
./target/debug/hi there-world: ELF 64 ビット LSB パイ実行可能ファイル、x86-64、バージョン 1 (SYSV)、動的にリンクされた、インタープリター /lib64/ld-linux-x86-64.so .2、ビルド ID=54d56ea3e059ced4​​d3b8cc088c409da6411264af、GNU/Linux 4.4.0 用、debug_info あり、削除されなくなりました 
そして簡単な言葉で「動的にリンク」共有ライブラリがメモリにロードされ、セクションがマップされます  メソッドが開始された後
。
lddの操作) は、strace 出力内で現在検討した最も関連性の高いレコードの 1 つを示しています:
  1   ldd ./target/debug/hi there-world 
 1
 2
 3  4
  linux-vdso.so.1 (0x00007ffc75f26000)  libgcc_s.so.1=> /usr/lib/libgcc_s.so.1 (0x00007fdc33996000)  libc.so.6=> /usr/lib/libc.so.6 (0x00007fdc337af000) )
 /lib64/ld-linux-x86-64.so.2=> /usr/lib64/ld-linux-x86-64.so.2 (0x00007fdc33a13000)  
 これで、
libgcc_s.so.1
を検討しました および
libc.so.6 は、システムコールからリンクされています。
 linux-vdso の VDSO。 so.1 は  の略) デジタル動的共有オブジェクトであり、sに対して脆弱です一部のシステムコールの最適化
残りの最後の1つ /usr/lib64/ld-linux-x86-64.so.2 はリンカーそのものです。 速度を上げようとすることで、自分でそれを発見できる場所にいる可能性があります:
  1   
  /usr/lib64/ld-linux-x86-64.so.2 --abet | ヘッド -n 4 
  
 使用法: /usr/lib64/ld-linux-x86-64.so.2 [OPTION]... EXECUTABLE-FILE [ARGS-FOR-PROGRAM...] あなたは請求書を持っています oked 'ld.so', このメソッド インタープリタは、動的リンク 
["./a.out"] 1 2
3 4  )
 ELF プログラム。 着実に、このメソッドインタープリターは機械的に呼び出されます
 動的にリンクされた実行可能ファイルが開始されたとき。
  
では、私たちの分野では、単に「Hey, world!」と出力するだけのコードを間違いなく動作させるのは時代遅れであり、リンカはこのすべての魔法を作成し、作成し、すべての依存関係をメモリ マップします。
 動的リンクは巨大ですが、単純な「Hey, world!」にはあまりにも比類のない作業のように感じます。 頑張ってガチガチに…
 リンカはさておき
 strace の出力を肥大化させる最初の疑いがありましたが、今はそれを根絶する立場にあります.
から 上でリンクされた関連する Rust ドキュメント Rust と C ランタイムのハイパーリンクを達成できることを教えられる立場にあります (crt) crt-static
 を静的に利用 ターゲット機能。  RUSTFLAGS:
 を使用してコンパイラに渡すことができます。
1
  RUSTFLAGS=" -C target-feature=+crt-static" cargo invent 
実際の拡張機能を見てみましょう:
 )
1
 strace -c ./target/debug/hi there-world
 1  2  3  4   5  6  7  8  9
10 11 
12 13  )14 
15 16 17
 18
 19  20  21
 22
 23 24 25  26
ねえ、世界！  % time seconds usecs/name calls errors syscall —— ———– ———– ———- ——— ——————  0.00 0.000000 0 2 教えられる   0.00 0.000000 0 1 書き込み  0.00 0.000000 0 1 シャット  0.00 0.000000 0 1 投票  0.00 0.000000 0 1 mmap  0.00 0.000000 0 2 mprotect
 0.00 0.000000 0 1 munmap  0.00 0.000000 0 5 ブレーキ   0.00 0.000000 0 5 rt_sigaction 
   0.00 0.000000 0 1 execve 
 0.00 0.000000 0 1 readlink  0.00 0.000000 0 3 sigaltstack  0.00 0.000000 0 2 1 arch_prctl  0.00 0.000000 0 1 sched_getaffinity  0.00 0.000000 0 1 set_tid_address  0.00 0.000000 0 1 openat  0.00 0.000000 0 1 newfstatat   0.00 0.000000 0  1 set_robust_list  0.00 0.000000 0 2 prlimit64  0.00 0.000000 0 1 getrandom
 0.00 0.000000 0 1 rseq  ------ ----------- -------- --- --------- --------- ------------------ 100.00 0.000000 0 35 1 完了
 ここの方が断然いい syscall を 63 から 35 に減らしましたが、これは必要以上に簡単なことです。 それにもかかわらず、バイナリが現在静的にリンクされていることを確認する立場にあります:
 1
 ldd ./target/debug/hi there-world

17 

------ ----------  - -------------- --------- --------- ---------------- 100.00 0.000000 0 21 完了 

1 2 3 4 5   
 ＃からなる     int
  致命的() {  ) printf("おい、世界!n」); 
}  
  
地味すぎない…ってことはもうわかってたから
 musl は静的リンクの正当な候補として、 で発明できる立場にあります。 musl-gcc (gcc のラッパーで、 musl) に対するハイパーリンク:
1
 musl- gcc -static critical.c && ./a.out 
地図を見てみましょう:
  1  2  3
 4  5   6  7  8 
 9 [“./a.out”]  10

ねえ、世界！  

% time seconds usecs/name calls errors syscall ------ ----------- ----------- --------- -------- - ----------------

0.00 0.000000 0 1 ioctl 0.00 0.000000 0 1 writev

 0.00 0.000000 0 1 set_tid_address -------- ----------- ----------- --------- --------- ---------------- 
100.00 0.000000 0 5 完了 
 さて、これにより、私たちが望むものに比類のないほど近づくことができます.
お気づきかもしれませんが、write
 syscall は、一度  に置き換えられました) writev( 2)
。  writev は write の多数のバージョンのみです。  は、現時点で 1 つ以上のバッファーの書き込みを可能にします ( として知られています)。 ベクタ I/O
)。 システムコールに渡された真の引数を見ると:
 1
strace -e imprint=writev ./a.out
  ["./a.out"] -e オプションを使用すると、刻印するイベントを変更する式と、刻印する適切な手法を指定できます彼ら。 私たちの場合、
インプリント だけ writev syscall.
 1 2 3
 
writev(1 , [{iov_base="Hello, world!", iov_len=13}, {iov_base="n", iov_len=1}], 2Hello, world! 
 )=14 +++ は 0 +++ で終了しました  
私たちは、文字列が 2 つのバッファーに一度変わったことを発見する立場にあります。 「Hey, world!」 とユニークなセリフ  にもう 1 つ”n”。
なぜ？ そうですね、微妙ですね… syscall 自体はどこかから来ています ここ。 私たちが十分に冒険的であり、スタックをボルトで固定する場合、私たちは検索する立場にあります printf_core ) は  で知られています) vprintf
、これは (もはや遅滞なく) 私たちのサポートを printf そのもの…
真のシステムコールに到達するまで、間違いなく大量のコードが存在するように思われます…すべて正当化されていると確信していますが、それでも私たちにとっては、役に立たない複雑さの山に感じられます.
幸いなことに、私たちはそのすべての魔法を迂回することなく、システムコールを道徳的に叫ぶことができる立場にあります:
 1 ,  「ねぇ世界!n“,
 );
[“./a.out”] 1 2 3 4 5  6
 ＃からなる  ＃からなる 
 int 致命的(空所) {  syscall(SYS_write,
14
 }
SYS_write をsyscall への最初の引数。sysca を表す定数以外の何物でもありません。  ll 番号 (write の場合は 1)。 引数の緩和は、syscall 固有のものであり、man net page for write、 それらは：
 ファイル記述子 (stdout の場合は 1)
 バッファ
 メモするバイトの置き換え
スピードアップしましょう:
 1
  musl-gcc -static critical.c && strace -c ./a.out  )
1 2 3  4  5  6 7 8
 9
ねえ、世界!  
% time seconds usecs/name calls errors syscall ------ ----------- ----------- ---------- --------- ----------------  0.00 0.000000 0 1 書き込み
 0.00 0.000000 0 1 execve  0.00 0.000000 0 1 arch_prctl  0.00 0.000000 0 1 set_tid_address ------ ----------- ----------- --------- -------- - ----  ------------  100.00 0.000000 0 4 完了
printf  もう 1 つのシステムコールを隠しました (
 ioctl)) 私たちは、簡単な 書き込み  をサポートしています。 .
これで残りのマシンコールは 4 つになりました。 必須というよりも余分に感じるのは簡単です。 余分なギラギラしたものがなくなったので、斧を下に置いて、少し正確にアクセスできるようになるかもしれません.
Final syscalls Standing 
簡単なものから始めましょう。 私たちは間違いなく execve を何か (この場合 [ARGS-FOR-PROGRAM...] strace) は間違いなく私たちのプログラムをでっち上げたいと思っています。 したがって、strace の出力でそれを発見したとしても、それは「もはや間違いなく」私たちの「Hey, world!」ではありません。 」
 動作時 ["./a.out"] strace、メソッドは分岐し、子方向のトレースを開始します。 したがって、赤ちゃんは、引数として渡す目的のプログラムを後で作成したいと考えています (a.out バイナリC プログラムの場合)、execve syscall を呼び出すように偽装します。 私たちは、straceing によって時計を盗む立場にあります。 strace:
 1
  
それでも、出力は少し乱雑ですよく知られている成分にズームインすると、
clone syscall を発見することができます。虚弱からファブブランドならではの方向性を語って、続いて ptrace PTRACE_SEIZE 引数を __ptrace_request は、 の結果として取得した pid を使用してメソッドにアタッチします。 クローン:
 1  2 3 4 5
...
 strace strace -c ./a.out
 ...   clone(child_stack=NULL, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0x7fb11c716550)=4031 ...  )ptrace(PTRACE_SEIZE, 4031, NULL, PTRACE_O_TRACESYSGOOD|PTRACE_O_TRACEEXEC|PTRACE_O_TRACEEXIT)=0 
その子方向の後に最も効率的なのは、execve sysc でプログラムを高速化しますすべて、バイナリを straceing することで発見できる位置にあります: 
1 
 ストレース-e imprint=execve ./a.out 
 execve("./a.out" , ["./a.out"], 0x7ffd96e60d30 /31 vars */)=0 ねえ、世界！  +++ は 0 +++ で終了しました 
1  )2 3
私たちは今、これなしでは生きていけない立場にあることを知っています。 execve でも arch_prctl と set_tid_address なら?
基本的に、私がつまずいたものの中で最も素晴らしいのは、それらはセットアップの支払いです スレッドローカルストレージ(TLS)。 私たちは  のマニュアルページで教えられる立場にあるのでarch_prctl
 :
arch_prctl - アーキテクチャ固有のスレッドを以下にマップします
もう少し掘り下げると、これが意味するのは  とのインターフェースです) FS (および GS) レジスタ   (特に TLS の場合は FS)、おそらくコンシューマー ハウスからのマップではなく、スレッド コンテキストごとに保存するのに脆弱です.
提供コードへのハイパーリンク 
 スレッド化に関連する他のすべてのシステムコールは set_tid_address (「ポインターをスレッド ID にマップする」)。 私はこれでもう巨大な情報源を調達しませんでしたが、 から) 人のネットページを読む )私たちはそれについて努力し、推論する立場にあります.  set_tid_address は clear_child_tid[{iov_base="Hello, world!", iov_len=13}, {iov_base="n", iov_len=1}] をマップします。  指定されたスレッドの属性を、マシン名で指定された相手と競合させます。 そして、名前 (clear_child_tid) が示すように、スレッドが終了すると、競合する価格は map になります
なぜ意図的なのか？ ここでもマンネットページごとに、適切であればカーネルは次のようにします:
 1
 futex(clear_child_tid, FUTEX_WAKE, 1, NULL, NULL, 0);