我有一种情况，其中一些地址空间是敏感的，因为你读它，你崩溃，因为没有人在那里响应该地址。

pop {r3,pc}
bx r0

   0:   e8bd8008    pop {r3, pc}
   4:   e12fff10    bx  r0

   8:   bd08        pop {r3, pc}
   a:   4700        bx  r0

bx不是由编译器作为指令创建的，而是一个32位常量的结果，这个常量不适合作为单个指令的即时值，因此设置了pc相对负载。这基本上是文字池。它碰巧有类似于bx的位。

可以轻松编写测试程序来生成问题。

unsigned int more_fun ( unsigned int );
unsigned int fun ( void )
{
    return(more_fun(0x12344700)+1);
}

00000000 <fun>:
   0:   b510        push    {r4, lr}
   2:   4802        ldr r0, [pc, #8]    ; (c <fun+0xc>)
   4:   f7ff fffe   bl  0 <more_fun>
   8:   3001        adds    r0, #1
   a:   bd10        pop {r4, pc}
   c:   12344700    eorsne  r4, r4, #0, 14

在这种情况下，处理器正在等待从pop（ldm）返回的数据移动到下一条指令bx r0，并在r0中的地址开始预取。这挂起了ARM。

作为人类，我们将流行音乐视为一个无条件的分支，但处理器不会一直通过管道。

预取和分支预测并不是什么新鲜事（在这种情况下，我们关闭了分支预测器），已经有几十年的历史了，并且不限于ARM，但是具有GPRPC的指令集的数量以及在某种程度上将其视为非特殊的指令的数量很少。

我正在寻找一个gcc命令行选项来防止这种情况。我无法想象我们是第一个看到这一点的人。

我当然可以这么做

-march=armv4t


00000000 <fun>:
   0:   b510        push    {r4, lr}
   2:   4803        ldr r0, [pc, #12]   ; (10 <fun+0x10>)
   4:   f7ff fffe   bl  0 <more_fun>
   8:   3001        adds    r0, #1
   a:   bc10        pop {r4}
   c:   bc02        pop {r1}
   e:   4708        bx  r1
  10:   12344700    eorsne  r4, r4, #0, 14

防止问题

请注意，不仅限于拇指模式，gcc也可以在pop之后使用文字池为此类内容生成arm代码。

unsigned int more_fun ( unsigned int );
unsigned int fun ( void )
{
    return(more_fun(0xe12fff10)+1);
}

00000000 <fun>:
   0:   e92d4010    push    {r4, lr}
   4:   e59f0008    ldr r0, [pc, #8]    ; 14 <fun+0x14>
   8:   ebfffffe    bl  0 <more_fun>
   c:   e2800001    add r0, r0, #1
  10:   e8bd8010    pop {r4, pc}
  14:   e12fff10    bx  r0

希望有人知道一个通用或arm特定的选项来做一个类似armv4t的返回（pop{r4， lr}；例如arm模式下的bx lr），而不带行李，或者在pop pc之后立即将一个分支放入self（似乎解决了管道不会混淆b作为无条件分支的问题。

编辑

ldr pc,[something]
bx rn

也会导致预取。这不会属于-游行=armv4t。gcc故意生成ldrls pc，[]； b用于switch语句的某处，这很好。没有检查后端以查看是否有其他ldr pc，[]指令生成。

编辑

看起来ARM确实将此报告为勘误表（勘误表720247，推测式指令获取可以在内存映射中的任何位置进行），希望我在我们花一个月时间之前就知道…