2018年初，发现了两个关键的安全漏洞——Spectre和Meltdown，这动摇了现代计算的基础。这些攻击利用了推测性执行——现代CPU的一项基本优化功能，以跨越安全边界泄漏敏感数据。漏洞影响了Intel、AMD和ARM处理器，其影响波及到所有操作系统和几乎所有当今使用的架构。
Meltdown主要影响特权内存边界，而Spectre则针对应用间的推测性执行，容许攻击者读取其他进程的数据。这些漏洞的严重程度如此之高，以至于“修复”需要包括微代码、操作系统和软件更新在内的综合方法。
在本指南中，我们将探讨Spectre变体2（CVE-2017-5715）：分支目标注入，并讨论缓解这一问题的理论和实际步骤，重点关注Windows和Linux环境的实际操作。
Spectre变体2官方名称为_“分支目标注入”_漏洞。其标识符为CVE-2017-5715，通过操纵CPU中的间接分支预测器导致推测执行遵循攻击者选择的路径，从而允许其通过侧信道推断受保护内存中的数据。
攻击之所以能够进行，是因为处理器在确定分支是否正确之前就会推测性地执行后续指令。攻击者利用这种推测执行，骗取CPU访问其预期范围之外的敏感数据。
关键术语
Spectre变体2通过**污染分支目标缓冲区（BTB）**来实现。攻击者可以影响受害进程的间接分支预测，使CPU推测性地执行攻击者选择的代码。在这种推测执行过程中，敏感数据可以被加载到缓存中，并通过定时攻击被检测到。
以下是一个简单的步骤概述：
Spectre攻击不依赖于任何特定的软件错误或漏洞，而是利用了CPU的基本特性。
让我们通过一个简化的伪代码示例来说明：
// 受害者代码
void victim_function(size_t idx) {
if (idx < array1_size) {
temp &= array2[array1[idx] * 512];
}
}
攻击者可以：
victim_function**以推测性访问敏感数据。现实攻击面：浏览器、虚拟机监控程序、云提供商，甚至JavaScript沙盒可能受到影响，因为推测性执行是硬件层级的现象。
由于问题源自CPU的设计，微代码更新（来自Intel、AMD、ARM）是一种防御措施。这些更新可以：
然而，较旧的CPU可能缺乏对新安全功能的硬件支持。
Windows和Linux都发布了与硬件缓解措施交互的全面补丁。这些补丁：
在Windows Server 2016/2019/2022和Windows 10/11上，微软集成了检查Spectre和Meltdown缓解措施的工具。您可以使用PowerShell检查操作系统的缓解状态：
Get-SpeculationControlSettings
示例输出：
针对CVE-2017-5715 [分支目标注入]的投机控制设置
硬件支持可用：是
Windows操作系统支持启用：是
...
输出告诉您：
微软从2018年1月开始发布
补丁。之后，KB4091666和相关的更新汇总在这里记录以加快部署和控制。
更新方法：
**注意：**仅应用操作系统补丁可能还不够；硬件必须支持（并启用）所需的微代码功能。
管理员可以通过注册表控制缓解措施以进行高级调优或故障排除。
Spectre变体2注册表项：
键： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
值：FeatureSettingsOverride
类型：REG_DWORD
数据：
0 = 使用默认缓解选项
1 = 禁用所有缓解措施
3 = 启用所有可用缓解措施
要启用所有缓解措施（包括Spectre变体2）：
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management" -Name "FeatureSettingsOverride" -Type DWord -Value 0
更改生效需要重启。
**注意：**手动编辑注册表可根据系统需求进行调优，但在生产环境中应用时必须小心。
Linux内核从版本4.15+开始，结合Spectre和Meltdown缓解措施，包括通过参数实现运行时切换。
内核命令行选项：
spectre_v2=onspectre_v2=off要检查可用选项：
cat /boot/config-$(uname -r) | grep SPECTRE
示例：
cat /proc/cmdline
检查引导行中是否存在spectre_v2标志。
大多数现代发行版如果支持底层硬件和编译器，则默认启用retpoline支持。
检查内核是否支持retpoline：
grep . /sys/devices/system/cpu/vulnerabilities/*
示例输出：
/sys/devices/system/cpu/vulnerabilities/spectre_v2:缓解：完整通用retpoline，IBPB，IBRS_FW
这表明正在使用完整的retpoline，并且启用了硬件级缓解措施，如间接分支限制性推测（IBRS）和间接分支预测屏障（IBPB）。
可以为所有CPU检查当前的漏洞状态：
cat /sys/devices/system/cpu/vulnerabilities/spectre_v2
如果输出是：
缓解：完整通用retpoline，IBPB，IBRS_FW
说明缓解措施已启用。
如果是易受攻击：分支目标注入，则系统未受保护。
if grep -q "易受攻击" /sys/devices/system/cpu/vulnerabilities/spectre_v2; then
echo "系统未完全缓解Spectre变体2。"
else
echo "系统已缓解。"
fi
with open('/sys/devices/system/cpu/vulnerabilities/spectre_v2', 'r') as f:
status = f.read().strip()
if "易受攻击" in status:
print("警告：Spectre变体2缓解未启用！")
else:
print("Spectre变体2缓解已启用：", status)
对于需要最大程度保护的环境（无论性能如何），可以传递此内核命令行：
spectre_v2=on
这将强制所有程序在所有时间启用Spectre变体2缓解。
将其添加到您的引导加载程序配置中（例如，GRUB的/etc/default/grub）：
GRUB_CMDLINE_LINUX="spectre_v2=on"
然后更新GRUB并重启：
sudo update-grub
sudo reboot
有些用户，尤其是运行性能敏感的工作负载（如数据库、高频交易等）的用户，注意到启用所有缓解措施后，有显著的减速（在内核密集型任务中达到10-30%）。Retpoline比旧方法（如IBRS）提供了显著的速度优势，因此推荐使用包含retpoline的编译器和内核更新。
测试和测量：
主要云厂商（AWS、Azure、GCP）对Spectre变体2的响应措施包括：
一家金融机构更新了其Windows服务器映像，并使用以下PowerShell脚本确保Spectre v2已得到缓解：
foreach ($server in Get-Content servers.txt) {
Invoke-Command -ComputerName $server -ScriptBlock {
$settings = Get-SpeculationControlSettings
if ($settings.BTIHardwarePresent -eq $True -and $settings.BTIWindowsSupportEnabled -eq $True) {
Write-Output "$env:COMPUTERNAME受保护"
} else {
Write-Output "$env:COMPUTERNAME未受保护"
}
}
}
Kubernetes运营商部署了以下daemonset，以确保每个节点报告其启用了缓解措施，并在发现任何节点易受攻击时发送警报。
Spectre变体2（分支目标注入）是一个改变范式的漏洞，迫使行业重新思考在所有堆栈层级上如何管理安全性——从芯片设计到固件，再到现代软件和云部署。
缓解是一个全面的过程：
采用稳健、经过测试的策略现在已成为对抗现代硬件级威胁（如Spectre）以保护数据的必要手段。