/dev/mem可没那么简单

网上的说法也非常统一，/dev/mem是物理内存的全映像，能够用来訪问物理内存，一般使用方法是open("/dev/mem",O_RDWR|O_SYNC)，接着就能够用mmap来訪问物理内存以及外设的IO资源，这就是实现用户空间驱动的一种方法。
用户空间驱动听起来非常酷。可是对于/dev/mem，我认为没那么简单，有2个地方引起我的怀疑：
（1）网上资料都说/dev/mem是物理内存的全镜像。这个概念非常含糊，/dev/mem究竟能够完毕哪些地址的虚实映射？
（2）/dev/mem看似非常强大。可是这也太危急了，黑客全然能够利用/dev/mem对kernel代码以及IO进行一系列的非法操作，后果不可预測。难道内核开发人员们没有意识到这点吗?

网上资料说法都非常泛泛，仅仅对mem设备的使用进行说明，没有对这些问题进行深究。

要搞清这一点，我认为还是从/dev/mem驱动開始下手。

參考内核版本号：3.4.55 
參考平台：powerpc/arm

mem驱动在drivers/char/mem.c，mmap是系统调用。产生软中断进入内核后调用sys_mmap。终于会调用到mem驱动的mmap实现函数。

来看下mem.c中的mmap实现：

static int mmap_mem(struct file *file, struct vm_area_struct *vma)
{
    size_t size = vma->vm_end - vma->vm_start;

    if (!valid_mmap_phys_addr_range(vma->vm_pgoff, size))
        return -EINVAL;

    if (!private_mapping_ok(vma))
        return -ENOSYS;

    if (!range_is_allowed(vma->vm_pgoff, size))
        return -EPERM;

    if (!phys_mem_access_prot_allowed(file, vma->vm_pgoff, size,
                        &vma->vm_page_prot))
        return -EINVAL;

    vma->vm_page_prot = phys_mem_access_prot(file, vma->vm_pgoff,
                         size,
                         vma->vm_page_prot);

    vma->vm_ops = &mmap_mem_ops;

    /* Remap-pfn-range will mark the range VM_IO and VM_RESERVED */
    if (remap_pfn_range(vma,
                vma->vm_start,
                vma->vm_pgoff,
                size,
                vma->vm_page_prot)) {
        return -EAGAIN;
    }
    return 0;
}

这些成员的赋值是在调用详细驱动的mmap实现函数之前。在sys_mmap中进行的。
在mmap_mem最后调用remap_pfn_range，该函数完毕指定物理地址与用户空间虚拟地址页表的建立。
remap_pfn_range參数中vma->vm_pgoff即代表要映射的物理地址，并没有范围限制仅能够操作内存。
mmap系统调用的函数定义例如以下：
void *mmap(void *addr, size_t length, int prot, int flags, int fd, off_t offset);
addr指定要映射到的虚拟地址。写NULL则有sys_mmap来分配该虚拟地址。
mmap參数与mem_mmap參数对应关系例如以下：
prot      ===> vma->vma_page_prot
offset    ===> vma->vma_pgoff
length    ===> size

从刚才分析的mem_mmap流程来看，能够得出一个简单的结论：
mem_mmap能够映射整个处理器的地址空间。而不单单是内存。这里要说明的是，地址空间不等于内存空间。站在处理器角度看。地址空间指处理器总线上的全部可寻址空间。除了内存，还有外设的IO空间。以及其它总线映射过来的mem（如PCI）
我的理解。mem_mmap全然能够映射0-0xffffffff的全部物理地址（填TLB页表完毕映射）。但前提是保证该物理地址是真实有效的，也就是处理器訪问该总线物理地址能够获取有效数据。
所以如今看来mmap /dev/mem，仅仅要确定我们处理器的地址空间分布，就能够将我们须要的地址映射到用户空间进行操作。
假设地址不是一个有效物理地址（处理器地址空间分布中该地址没用）。mmap建立该物理地址与用户空间虚拟地址的映射。填TLB，CPU经过TLB翻译后去訪问该不存在的物理地址訪问就有可能导致CPU挂掉。

这也就解释了我第一个疑问，可是kernel的安全机制不会同意用户这么肆无忌惮的操作。接着来看remap_pfn_range之前mmap_mem怎样进行防护。

首先是valid_mmap_phys_addr_range，检查该物理地址是否是一个有效的mmap地址。假设平台定义了ARCH_HAS_VALID_PHYS_ADDR_RANGE则会实现该函数，
arm中定义并实现了该函数，在arch/arm/mm/mmap.c中，例如以下：

/*
 * We don‘t use supersection mappings for mmap() on /dev/mem, which
 * means that we can‘t map the memory area above the 4G barrier into
 * userspace.
 */
int valid_mmap_phys_addr_range(unsigned long pfn, size_t size)
{
    return !(pfn + (size >> PAGE_SHIFT) > 0x00100000);
}

而对于powerpc，平台未定义ARCH_HAS_VALID_PHYS_ADDR_RANGE，所以valid_mmap_phys_addr_range在mem.c中定义为空函数，返回1 表示该物理地址一直有效。
物理地址有效。不会返回-EINVAL。继续往下走。

接下来是private_mapping_ok，对于有MMU的CPU，实现例如以下：

static inline int private_mapping_ok(struct vm_area_struct *vma)
{
    return 1;
}

#ifdef CONFIG_STRICT_DEVMEM
static inline int range_is_allowed(unsigned long pfn, unsigned long size)
{
    u64 from = ((u64)pfn) << PAGE_SHIFT;
    u64 to = from + size;
    u64 cursor = from;

    while (cursor < to) {
        if (!devmem_is_allowed(pfn)) {
            printk(KERN_INFO
        "Program %s tried to access /dev/mem between %Lx->%Lx.\n",
                current->comm, from, to);
            return 0;
        }
        cursor += PAGE_SIZE;
        pfn++;
    }
    return 1;
}
#else
static inline int range_is_allowed(unsigned long pfn, unsigned long size)
{
    return 1;
}
#endif

config STRICT_DEVMEM
    def_bool y
    prompt "Filter access to /dev/mem"
    help
      This option restricts access to /dev/mem.  If this option is
      disabled, you allow userspace access to all memory, including
      kernel and userspace memory. Accidental memory access is likely
      to be disastrous.
      Memory access is required for experts who want to debug the kernel.

      If you are unsure, say Y.

假设打开该选项，内核就会对mem设备訪问加以检查。检查函数就是range_is_allowed。

range_is_allowed函数对要检查的物理地址范围以4K页为单位，一页一页的调用devmem_is_allowed。假设不同意，则会进行打印提示。并返回0，表示该物理地址范围不被同意。

来看devmem_is_allowed.该函数是平台相关函数，只是arm跟powerpc的实现相差不大，以arm的实现为例。

在arch/arm/mm/mmap.c中。

/*
 * devmem_is_allowed() checks to see if /dev/mem access to a certain
 * address is valid. The argument is a physical page number.
 * We mimic x86 here by disallowing access to system RAM as well as
 * device-exclusive MMIO regions. This effectively disable read()/write()
 * on /dev/mem.
 */
int devmem_is_allowed(unsigned long pfn)
{
    if (iomem_is_exclusive(pfn << PAGE_SHIFT))
        return 0;
    if (!page_is_ram(pfn))
        return 1;
    return 0;
}

#ifdef CONFIG_STRICT_DEVMEM
static int strict_iomem_checks = 1;
#else
static int strict_iomem_checks;
#endif

/*
 * check if an address is reserved in the iomem resource tree
 * returns 1 if reserved, 0 if not reserved.
 */
int iomem_is_exclusive(u64 addr)
{
    struct resource *p = &iomem_resource;
    int err = 0;
    loff_t l;
    int size = PAGE_SIZE;

    if (!strict_iomem_checks)
        return 0;

    addr = addr & PAGE_MASK;

    read_lock(&resource_lock);
    for (p = p->child; p ; p = r_next(NULL, p, &l)) {
        /*
         * We can probably skip the resources without
         * IORESOURCE_IO attribute?
         */
        if (p->start >= addr + size)
            break;
        if (p->end < addr)
            continue;
        if (p->flags & IORESOURCE_BUSY &&
             p->flags & IORESOURCE_EXCLUSIVE) {
            err = 1;
            break;
        }
    }
    read_unlock(&resource_lock);

    return err;
}

对于外设的IO资源，kernel中使用platform device机制来注冊平台设备（platform_device_register）时调用insert_resource将该设备对应的io资源插入到iomem_resource链表中。

假设我要对某外设的IO资源进行保护。防止用户空间訪问。能够将其resource的flags置位exclusive就可以。

只是我查看我平台支持包里的全部platform device的resource。flags都没有置位exclusive或者busy。

假设我映射的物理地址范围是外设的IO。检查能够通过。

对于内存的mem资源，怎样注冊到iomem_resource链表中。内核代码中我还没找到详细的位置，只是iomem在proc下有对应的表征文件。能够cat /proc/iomem。

依据我的实际操作測试。内存资源也都没有exclusive。所以假设我映射地址是内存。检查也能够通过。

所以这里iomem_is_exclusive检查通常是通过的。接下来看page_is_ram。看devmem_is_range的逻辑，假设地址是ram地址。则该地址不被同意。page_is_ram也是平台函数，查看powerpc的实现例如以下。

int page_is_ram(unsigned long pfn)
{
#ifndef CONFIG_PPC64    /* XXX for now */
    return pfn < max_pfn;
#else
    unsigned long paddr = (pfn << PAGE_SHIFT);
    struct memblock_region *reg;

    for_each_memblock(memory, reg)
        if (paddr >= reg->base && paddr < (reg->base + reg->size))
            return 1;
    return 0;
#endif
}
max_pfn赋值在在do_init_bootmem中。例如以下.
void __init do_init_bootmem(void)
{
    unsigned long start, bootmap_pages;
    unsigned long total_pages;
    struct memblock_region *reg;
    int boot_mapsize;

    max_low_pfn = max_pfn = memblock_end_of_DRAM() >> PAGE_SHIFT;
    total_pages = (memblock_end_of_DRAM() - memstart_addr) >> PAGE_SHIFT;

这里就明确了假设要映射的物理地址在lowmem范围内，也是不同意被映射的。

这样range_is_allowed就分析完了。exclusive的iomem以及lowmem范围内的物理地址是不同意被映射的。

接下来phys_mem_access_prot_allowed实现为空返回1，没有影响。

phys_mem_access_prot确定我们映射页的权限，该函数也是平台函数，以powerpc实现为例，例如以下：

pgprot_t phys_mem_access_prot(struct file *file, unsigned long pfn,
                  unsigned long size, pgprot_t vma_prot)
{
    if (ppc_md.phys_mem_access_prot)
        return ppc_md.phys_mem_access_prot(file, pfn, size, vma_prot);

    if (!page_is_ram(pfn))
        vma_prot = pgprot_noncached(vma_prot);

    return vma_prot;
}

假设没有。对于不是lowmem范围内的物理地址。权限设置为uncached。

以上的检查完毕，最后调用remap_pfn_range完毕页表设置。

所以假设打开CONFIG_STRICT_DEVMEM,mem驱动会对mmap要映射的物理地址进行范围和位置的检查然后才进行映射。检查条件例如以下：
（1）映射范围不能超过4G。
（2）该物理地址所在iomem不能exclusive.
（3）该物理地址不能处在lowmem中。

所以说对于网上给出的各种利用/dev/mem来操作内存以及寄存器的文章。假设操作范围在上述3个条件内，内核必须关闭CONFIG_STRICT_DEVMEM才行。

这样对于mem设备我的2个疑问算是攻克了。

查看mem.c时我还看到了另外一个有趣的设备kmem。这个设备mmap的是哪里的地址，网上的说法是内核虚拟地址。这个说法我不以为然，这里记录下我的想法。

#ifdef CONFIG_DEVKMEM
static int mmap_kmem(struct file *file, struct vm_area_struct *vma)
{
    unsigned long pfn;

    /* Turn a kernel-virtual address into a physical page frame */
    pfn = __pa((u64)vma->vm_pgoff << PAGE_SHIFT) >> PAGE_SHIFT;

    /*
     * RED-PEN: on some architectures there is more mapped memory than
     * available in mem_map which pfn_valid checks for. Perhaps should add a
     * new macro here.
     *
     * RED-PEN: vmalloc is not supported right now.
     */
    if (!pfn_valid(pfn))
        return -EIO;

    vma->vm_pgoff = pfn;
    return mmap_mem(file, vma);
}
#endif

以powerpc为例。在arch/powerpc/include/asm/page.h,定义例如以下：

#define __va(x) ((void *)(unsigned long)((phys_addr_t)(x) + VIRT_PHYS_OFFSET))
#define __pa(x) ((unsigned long)(x) - VIRT_PHYS_OFFSET)
....
#define VIRT_PHYS_OFFSET (KERNELBASE - PHYSICAL_START)