x86: vmm: Track state for handling vmexits as KERNEL
[akaros.git] / kern / arch / x86 / trap.c
1 #include <arch/mmu.h>
2 #include <arch/x86.h>
3 #include <arch/arch.h>
4 #include <arch/console.h>
5 #include <arch/apic.h>
6 #include <arch/perfmon.h>
7 #include <ros/common.h>
8 #include <smp.h>
9 #include <assert.h>
10 #include <pmap.h>
11 #include <trap.h>
12 #include <monitor.h>
13 #include <process.h>
14 #include <mm.h>
15 #include <stdio.h>
16 #include <slab.h>
17 #include <syscall.h>
18 #include <kdebug.h>
19 #include <kmalloc.h>
20 #include <ex_table.h>
21 #include <arch/mptables.h>
22 #include <ros/procinfo.h>
23
24 enum {
25         NMI_NORMAL_OPN = 0,
26         NMI_IN_PROGRESS,
27         NMI_HANDLE_ANOTHER,
28 };
29
30 taskstate_t ts;
31
32 /* Interrupt descriptor table.  64 bit needs 16 byte alignment (i think). */
33 gatedesc_t __attribute__((aligned (16))) idt[256] = { { 0 } };
34 pseudodesc_t idt_pd;
35
36 /* interrupt handler table, each element is a linked list of handlers for a
37  * given IRQ.  Modification requires holding the lock (TODO: RCU) */
38 struct irq_handler *irq_handlers[NUM_IRQS];
39 spinlock_t irq_handler_wlock = SPINLOCK_INITIALIZER_IRQSAVE;
40
41 static bool try_handle_exception_fixup(struct hw_trapframe *hw_tf)
42 {
43         if (in_kernel(hw_tf)) {
44                 uintptr_t fixup_ip = get_fixup_ip(hw_tf->tf_rip);
45
46                 if (fixup_ip != 0) {
47                         hw_tf->tf_rip = fixup_ip;
48                         return true;
49                 }
50         }
51
52         return false;
53 }
54
55 const char *x86_trapname(int trapno)
56 {
57         static const char *const excnames[] = {
58                 "Divide error",
59                 "Debug",
60                 "Non-Maskable Interrupt",
61                 "Breakpoint",
62                 "Overflow",
63                 "BOUND Range Exceeded",
64                 "Invalid Opcode",
65                 "Device Not Available",
66                 "Double Fault",
67                 "Coprocessor Segment Overrun",
68                 "Invalid TSS",
69                 "Segment Not Present",
70                 "Stack Fault",
71                 "General Protection",
72                 "Page Fault",
73                 "(unknown trap)",
74                 "x87 FPU Floating-Point Error",
75                 "Alignment Check",
76                 "Machine-Check",
77                 "SIMD Floating-Point Exception"
78         };
79
80         if (trapno < sizeof(excnames)/sizeof(excnames[0]))
81                 return excnames[trapno];
82         if (trapno == T_SYSCALL)
83                 return "System call";
84         return "(unknown trap)";
85 }
86
87 /* Set stacktop for the current core to be the stack the kernel will start on
88  * when trapping/interrupting from userspace. */
89 void set_stack_top(uintptr_t stacktop)
90 {
91         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
92         /* No need to reload the task register, this takes effect immediately */
93         x86_set_stacktop_tss(pcpui->tss, stacktop);
94         /* Also need to make sure sysenters come in correctly */
95         x86_set_sysenter_stacktop(stacktop);
96 }
97
98 /* Note the check implies we only are on a one page stack (or the first page) */
99 uintptr_t get_stack_top(void)
100 {
101         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
102         uintptr_t stacktop;
103
104         stacktop = x86_get_stacktop_tss(pcpui->tss);
105         if (stacktop != ROUNDUP(read_sp(), PGSIZE))
106                 panic("Bad stacktop: %p esp one is %p\n", stacktop,
107                       ROUNDUP(read_sp(), PGSIZE));
108         return stacktop;
109 }
110
111 /* Sends a non-maskable interrupt; the handler will print a trapframe. */
112 void send_nmi(uint32_t os_coreid)
113 {
114         /* NMI / IPI for x86 are limited to 8 bits */
115         uint8_t hw_core = (uint8_t)get_hw_coreid(os_coreid);
116         __send_nmi(hw_core);
117 }
118
119 void idt_init(void)
120 {
121         /* This table is made in trapentry$BITS.S by each macro in that file.
122          * It is layed out such that the ith entry is the ith's traphandler's
123          * (uintptr_t) trap addr, then (uint32_t) trap number. */
124         struct trapinfo { uintptr_t trapaddr; uint32_t trapnumber; }
125                __attribute__((packed));
126         extern struct trapinfo trap_tbl[];
127         extern struct trapinfo trap_tbl_end[];
128         int i, trap_tbl_size = trap_tbl_end - trap_tbl;
129         extern void ISR_default(void);
130         extern void ISR_syscall(void);
131
132         /* set all to default, to catch everything */
133         for (i = 0; i < 256; i++)
134                 SETGATE(idt[i], 0, GD_KT, &ISR_default, 0);
135
136         /* set all entries that have real trap handlers
137          * we need to stop short of the last one, since the last is the default
138          * handler with a fake interrupt number (500) that is out of bounds of
139          * the idt[] */
140         for (i = 0; i < trap_tbl_size - 1; i++)
141                 SETGATE(idt[trap_tbl[i].trapnumber], 0, GD_KT, trap_tbl[i].trapaddr, 0);
142         /* Sanity check */
143         assert((uintptr_t)ISR_syscall ==
144                ((uintptr_t)idt[T_SYSCALL].gd_off_63_32 << 32 |
145                 (uintptr_t)idt[T_SYSCALL].gd_off_31_16 << 16 |
146                 (uintptr_t)idt[T_SYSCALL].gd_off_15_0));
147         /* turn on trap-based syscall handling and other user-accessible ints
148          * DPL 3 means this can be triggered by the int instruction */
149         idt[T_SYSCALL].gd_dpl = 3;
150         idt[T_BRKPT].gd_dpl = 3;
151         /* Send NMIs to their own stack (IST1 in every core's TSS) */
152         idt[T_NMI].gd_ist = 1;
153         /* Send double faults to their own stack (IST2 in every core's TSS) */
154         idt[T_DBLFLT].gd_ist = 2;
155
156         /* The sooner we set this, the sooner we can use set/get_stack_top. */
157         per_cpu_info[0].tss = &ts;
158         per_cpu_info[0].gdt = gdt;
159
160         /* Set up our kernel stack when changing rings */
161         /* Note: we want 16 byte aligned kernel stack frames (AMD 2:8.9.3) */
162         x86_sysenter_init();
163         set_stack_top((uintptr_t)bootstacktop);
164
165         /* Initialize the TSS field of the gdt.  The size of the TSS desc differs
166          * between 64 and 32 bit, hence the pointer acrobatics */
167         syssegdesc_t *ts_slot = (syssegdesc_t*)&gdt[GD_TSS >> 3];
168         *ts_slot = (syssegdesc_t)SEG_SYS_SMALL(STS_T32A, (uintptr_t)&ts,
169                                                sizeof(taskstate_t), 0);
170
171         /* Init the IDT PD.  Need to do this before ltr for some reason.  (Doing
172          * this between ltr and lidt causes the machine to reboot... */
173         idt_pd.pd_lim = sizeof(idt) - 1;
174         idt_pd.pd_base = (uintptr_t)idt;
175
176         ltr(GD_TSS);
177
178         asm volatile("lidt %0" : : "m"(idt_pd));
179
180         pic_remap();
181         pic_mask_all();
182
183         int ncleft = MAX_NUM_CORES;
184         int num_cores_mpacpi;
185
186         ncleft = mpsinit(ncleft);
187         ncleft = mpacpi(ncleft);
188         num_cores_mpacpi = MAX_NUM_CORES - ncleft;
189         printk("MP and ACPI found %d cores\n", num_cores_mpacpi);
190         if (num_cores != num_cores_mpacpi)
191                 warn("Topology (%d) and MP/ACPI (%d) differ on num_cores!", num_cores,
192                      num_cores_mpacpi);
193
194         apiconline();
195         ioapiconline();
196
197         /* the lapic IRQs need to be unmasked on a per-core basis */
198         register_irq(IdtLAPIC_TIMER, timer_interrupt, NULL,
199                      MKBUS(BusLAPIC, 0, 0, 0));
200         register_irq(IdtLAPIC_ERROR, handle_lapic_error, NULL,
201                      MKBUS(BusLAPIC, 0, 0, 0));
202         register_irq(IdtLAPIC_PCINT, perfmon_interrupt, NULL,
203                      MKBUS(BusLAPIC, 0, 0, 0));
204         register_irq(I_KERNEL_MSG, handle_kmsg_ipi, NULL, MKBUS(BusIPI, 0, 0, 0));
205 }
206
207 static void print_fperr(struct hw_trapframe *hw_tf)
208 {
209         uint16_t fpcw, fpsw;
210         uint32_t mxcsr;
211         asm volatile ("fnstcw %0" : "=m"(fpcw));
212         asm volatile ("fnstsw %0" : "=m"(fpsw));
213         asm volatile ("stmxcsr %0" : "=m"(mxcsr));
214         print_trapframe(hw_tf);
215         printk("Core %d: FP ERR, CW: 0x%04x, SW: 0x%04x, MXCSR 0x%08x\n", core_id(),
216                fpcw, fpsw, mxcsr);
217         printk("Core %d: The following faults are unmasked:\n", core_id());
218         if (fpsw & ~fpcw & FP_EXCP_IE) {
219                 printk("\tInvalid Operation: ");
220                 if (fpsw & FP_SW_SF) {
221                         if (fpsw & FP_SW_C1)
222                                 printk("Stack overflow\n");
223                         else
224                                 printk("Stack underflow\n");
225                 } else {
226                         printk("invalid arithmetic operand\n");
227                 }
228         }
229         if (fpsw & ~fpcw & FP_EXCP_DE)
230                 printk("\tDenormalized operand\n");
231         if (fpsw & ~fpcw & FP_EXCP_ZE)
232                 printk("\tDivide by zero\n");
233         if (fpsw & ~fpcw & FP_EXCP_OE)
234                 printk("\tNumeric Overflow\n");
235         if (fpsw & ~fpcw & FP_EXCP_UE)
236                 printk("\tNumeric Underflow\n");
237         if (fpsw & ~fpcw & FP_EXCP_PE)
238                 printk("\tInexact result (precision)\n");
239 }
240
241 static bool __handler_user_page_fault(struct hw_trapframe *hw_tf,
242                                       uintptr_t fault_va, int prot)
243 {
244         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
245         int err;
246
247         assert(pcpui->owning_proc == pcpui->cur_proc);
248         enable_irq();
249         err = handle_page_fault(pcpui->owning_proc, fault_va, prot);
250         disable_irq();
251         if (err) {
252                 if (err == -EAGAIN)
253                         hw_tf->tf_err |= PF_VMR_BACKED;
254                 return FALSE;
255         }
256         return TRUE;
257 }
258
259 static bool __handler_kernel_page_fault(struct hw_trapframe *hw_tf,
260                                         uintptr_t fault_va, int prot)
261 {
262         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
263         int err;
264
265         /* The only thing an NMI handler that faults can do is a fixup */
266         if (pcpui->nmi_status != NMI_NORMAL_OPN) {
267                 assert(in_kernel(hw_tf));
268                 return try_handle_exception_fixup(hw_tf);
269         }
270         /* In general, if there's no cur_proc, a KPF is a bug. */
271         if (!pcpui->cur_proc) {
272                 /* This only runs from test_uaccess(), where it is expected to fail. */
273                 if (try_handle_exception_fixup(hw_tf))
274                         return TRUE;
275                 print_trapframe(hw_tf);
276                 backtrace_hwtf(hw_tf);
277                 panic("Proc-less Page Fault in the Kernel at %p!", fault_va);
278         }
279         /* TODO - handle kernel page faults.  This is dangerous, since we might be
280          * holding locks in the kernel and could deadlock when we HPF.  For now, I'm
281          * just disabling the lock checker, since it'll flip out when it sees there
282          * is a kernel trap.  Will need to think about this a bit, esp when we
283          * properly handle bad addrs and whatnot. */
284         pcpui->__lock_checking_enabled--;
285         /* It is a bug for the kernel to access user memory while holding locks that
286          * are used by handle_page_fault.  At a minimum, this includes p->vmr_lock
287          * and memory allocation locks.
288          *
289          * In an effort to reduce the number of locks (both now and in the future),
290          * the kernel will not attempt to handle faults on file-back VMRs.  We
291          * probably can turn that on in the future, but I'd rather keep things safe
292          * for now.  (We'll probably need to change this when we stop
293          * MAP_POPULATE | MAP_LOCKED entire binaries).
294          *
295          * Note that we do not enable IRQs here, unlike in the user case.  Again,
296          * this is to limit the locks we could be grabbing. */
297         err = handle_page_fault_nofile(pcpui->cur_proc, fault_va, prot);
298         pcpui->__lock_checking_enabled++;
299         if (err) {
300                 if (try_handle_exception_fixup(hw_tf))
301                         return TRUE;
302                 print_trapframe(hw_tf);
303                 backtrace_hwtf(hw_tf);
304                 /* Turn this on to help debug bad function pointers */
305                 printd("rsp %p\n\t 0(rsp): %p\n\t 8(rsp): %p\n\t 16(rsp): %p\n"
306                        "\t24(rsp): %p\n", hw_tf->tf_rsp,
307                        *(uintptr_t*)(hw_tf->tf_rsp +  0),
308                        *(uintptr_t*)(hw_tf->tf_rsp +  8),
309                        *(uintptr_t*)(hw_tf->tf_rsp + 16),
310                        *(uintptr_t*)(hw_tf->tf_rsp + 24));
311                 panic("Proc-ful Page Fault in the Kernel at %p!", fault_va);
312                 /* if we want to do something like kill a process or other code, be
313                  * aware we are in a sort of irq-like context, meaning the main
314                  * kernel code we 'interrupted' could be holding locks - even
315                  * irqsave locks. */
316         }
317         return TRUE;
318 }
319
320 static bool __handle_page_fault(struct hw_trapframe *hw_tf, unsigned long *aux)
321 {
322         uintptr_t fault_va = rcr2();
323         int prot = hw_tf->tf_err & PF_ERROR_WRITE ? PROT_WRITE : PROT_READ;
324
325         *aux = fault_va;
326         if (in_kernel(hw_tf))
327                 return __handler_kernel_page_fault(hw_tf, fault_va, prot);
328         else
329                 return __handler_user_page_fault(hw_tf, fault_va, prot);
330 }
331
332 /* Actual body of work done when an NMI arrives */
333 static void do_nmi_work(struct hw_trapframe *hw_tf)
334 {
335         assert(!irq_is_enabled());
336         /* It's mostly harmless to snapshot the TF, and we can send a spurious PCINT
337          * interrupt.  perfmon.c just uses the interrupt to tell it to check its
338          * counters for overflow.  Note that the PCINT interrupt is just a regular
339          * IRQ.  The backtrace was recorded during the NMI and emitted during IRQ.
340          *
341          * That being said, it's OK if the monitor triggers debugging NMIs while
342          * perf is running.  If perf triggers an NMI when the monitor wants to
343          * print, the monitor will debug *that* NMI, and not the one that gets sent
344          * moments later.  That's fine. */
345         emit_monitor_backtrace(ROS_HW_CTX, hw_tf);
346         perfmon_snapshot_hwtf(hw_tf);
347         send_self_ipi(IdtLAPIC_PCINT);
348 }
349
350 /* NMI HW_TF hacking involves four symbols:
351  *
352  * [__nmi_pop_ok_start, __nmi_pop_ok_end) mark the beginning and end of the
353  * code for an nmi popping routine that will actually pop at the end.
354  *
355  * [__nmi_pop_fail_start, __nmi_pop_fail_end) mark the beginning and end of the
356  * shadow code for an nmi popping routine that will fail at the end.
357  *
358  * If we see a TF in the OK section, we'll move it to the FAIL section.  If it's
359  * already in the FAIL section, we'll report that as a success. */
360 extern char __nmi_pop_ok_start[], __nmi_pop_ok_end[];
361 extern char __nmi_pop_fail_start[], __nmi_pop_fail_end[];
362
363 static bool nmi_hw_tf_needs_hacked(struct hw_trapframe *hw_tf)
364 {
365         return ((uintptr_t)__nmi_pop_ok_start <= hw_tf->tf_rip) &&
366                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_ok_end);
367 }
368
369 static bool nmi_hw_tf_was_hacked(struct hw_trapframe *hw_tf)
370 {
371         return ((uintptr_t)__nmi_pop_fail_start <= hw_tf->tf_rip) &&
372                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_fail_end);
373 }
374
375 /* Helper.  Hacks the TF if it was in the OK section so that it is at the same
376  * spot in the FAIL section.  Returns TRUE if the TF is hacked, meaning the NMI
377  * handler can just return. */
378 static bool nmi_check_and_hack_tf(struct hw_trapframe *hw_tf)
379 {
380         uintptr_t offset;
381
382         if (!nmi_hw_tf_needs_hacked(hw_tf))
383                 return FALSE;
384         if (nmi_hw_tf_was_hacked(hw_tf))
385                 return TRUE;
386         offset = hw_tf->tf_rip - (uintptr_t)__nmi_pop_ok_start;
387         hw_tf->tf_rip = (uintptr_t)__nmi_pop_fail_start + offset;
388         return TRUE;
389 }
390
391 /* Bottom half of the NMI handler.  This can be interrupted under some
392  * circumstances by NMIs.  It exits by popping the hw_tf in assembly. */
393 void __attribute__((noinline, noreturn))
394 __nmi_bottom_half(struct hw_trapframe *hw_tf)
395 {
396         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
397
398         while (1) {
399                 /* Signal that we're doing work.  A concurrent NMI will set this to
400                  * NMI_HANDLE_ANOTHER if we should continue, which we'll catch later. */
401                 pcpui->nmi_status = NMI_IN_PROGRESS;
402                 do_nmi_work(hw_tf);
403                 /* We need to check nmi_status to see if it is NMI_HANDLE_ANOTHER (if
404                  * so, run again), write NMI_NORMAL_OPN, leave this stack, and return to
405                  * the original context.  We need to do that in such a manner that an
406                  * NMI can come in at any time.  There are two concerns.
407                  *
408                  * First, we need to not "miss the signal" telling us to re-run the NMI
409                  * handler.  To do that, we'll do the actual checking in asm.  Being in
410                  * the asm code block is a signal to the real NMI handler that we need
411                  * to abort and do_nmi_work() again.
412                  *
413                  * Second, we need to atomically leave the stack and return.  By being
414                  * in asm, the NMI handler knows to just hack our PC to make us return,
415                  * instead of starting up a fresh __nmi_bottom_half().
416                  *
417                  * The NMI handler works together with the following function such that
418                  * if that race occurs while we're in the function, it'll fail and
419                  * return.  Then we'll just do_nmi_work() and try again. */
420                 extern void nmi_try_to_pop(struct hw_trapframe *tf, int *status,
421                                            int old_val, int new_val);
422
423                 nmi_try_to_pop(hw_tf, &pcpui->nmi_status, NMI_IN_PROGRESS,
424                                NMI_NORMAL_OPN);
425                 /* Either we returned on our own, since we lost a race with nmi_status
426                  * and didn't write (status = ANOTHER), or we won the race, but an NMI
427                  * handler set the status to ANOTHER and restarted us. */
428                 assert(pcpui->nmi_status != NMI_NORMAL_OPN);
429         }
430 }
431
432 /* Separate handler from traps, since there's too many rules for NMI ctx.
433  *
434  * The general rule is that any writes from NMI context must be very careful.
435  * When talking about reads and writes to per-core data:
436  * - If NMIs write things written by normal kernel contexts, including IRQs and
437  *   traps with IRQs disabled, then you must use atomics on both sides.
438  * - If NMIs write things read by normal contexts, then readers must be careful,
439  *   since the data can change at will.
440  * - If NMIs read things written by normal contexts, don't worry: you're running
441  *   uninterrupted (given x86 NMI caveats).
442  * - We cannot block.  The current kthread thinks its stacktop is different than
443  *   the one we're on.  Just get in and get out.
444  * - If we interrupted a user TF, then we don't need to worry any more than for
445  *   normal traps/IRQs.
446  * - However, we cannot call proc_restartcore.  That could trigger all sorts of
447  *   things, like kthreads blocking.
448  * - Parallel accesses (from other cores) are the same as always.  You just
449  *   can't lock easily.
450  *
451  * Normally, once you're in NMI, other NMIs are blocked until we return.
452  * However, if our NMI handler faults (PF, GPF, breakpoint) due to something
453  * like tracing, the iret from that fault will cancel our NMI protections.  Thus
454  * we need another layer of code to make sure we don't run the NMI handler
455  * concurrently on the same core.  See https://lwn.net/Articles/484932/ for more
456  * info.
457  *
458  * We'll get around the problem by running on yet another NMI stack.  All NMIs
459  * come in on the nmi entry stack (tss->ist1).  While we're on that stack, we
460  * will not be interrupted.  We jump to another stack to do_nmi_work.  That code
461  * can be interrupted, but we are careful to only have one 'thread' running on
462  * that stack at a time.  We do this by carefully hopping off the stack in
463  * assembly, similar to popping user TFs. */
464 void handle_nmi(struct hw_trapframe *hw_tf)
465 {
466         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
467         struct hw_trapframe *hw_tf_copy;
468         uintptr_t worker_stacktop;
469
470         /* At this point, we're an NMI and other NMIs are blocked.  Only once we
471          * hop to the bottom half could that be no longer true.  NMI with NMIs fully
472          * blocked will run without interruption.  For that reason, we don't have to
473          * be careful about any memory accesses or compiler tricks. */
474         if (pcpui->nmi_status == NMI_HANDLE_ANOTHER)
475                 return;
476         if (pcpui->nmi_status == NMI_IN_PROGRESS) {
477                 /* Force the handler to run again.  We don't need to worry about
478                  * concurrent access here.  We're running, they are not.  We cannot
479                  * 'PAUSE' since NMIs are fully blocked.
480                  *
481                  * The asm routine, for its part, does a compare-and-swap, so if we
482                  * happened to interrupt it before it wrote NMI_NORMAL_OPN, it'll
483                  * notice, abort, and not write the status. */
484                 pcpui->nmi_status = NMI_HANDLE_ANOTHER;
485                 return;
486         }
487         assert(pcpui->nmi_status == NMI_NORMAL_OPN);
488         pcpui->nmi_status = NMI_HANDLE_ANOTHER;
489         /* We could be interrupting an NMI that is trying to pop back to a normal
490          * context.  We can tell by looking at its PC.  If it is within the popping
491          * routine, then we interrupted it at this bad time.  We'll hack the TF such
492          * that it will return instead of succeeding. */
493         if (nmi_check_and_hack_tf(hw_tf))
494                 return;
495         /* OK, so we didn't interrupt an NMI that was trying to return.  So we need
496          * to run the bottom half.  We're going to jump stacks, but we also need to
497          * copy the hw_tf.  The existing one will be clobbered by any interrupting
498          * NMIs.
499          *
500          * We also need to save some space on the top of that stack for a pointer to
501          * pcpui and a scratch register, which nmi_try_to_pop() will use.  The
502          * target stack will look like this:
503          *
504          *               +--------------------------+ Page boundary (e.g. 0x6000)
505          *               |   scratch space (rsp)    |
506          *               |       pcpui pointer      |
507          *               |      tf_ss + padding     | HW_TF end
508          *               |          tf_rsp          |
509          *               |            .             |
510          *               |            .             |
511          * RSP ->        |         tf_gsbase        | HW_TF start, hw_tf_copy
512          *               +--------------------------+
513          *               |            .             |
514          *               |            .             |
515          *               |            .             |
516          *               +--------------------------+ Page boundary (e.g. 0x5000)
517          *
518          * __nmi_bottom_half() just picks up using the stack below tf_gsbase.  It'll
519          * push as needed, growing down.  Basically we're just using the space
520          * 'above' the stack as storage. */
521         worker_stacktop = pcpui->nmi_worker_stacktop - 2 * sizeof(uintptr_t);
522         *(uintptr_t*)worker_stacktop = (uintptr_t)pcpui;
523         worker_stacktop = worker_stacktop - sizeof(struct hw_trapframe);
524         hw_tf_copy = (struct hw_trapframe*)worker_stacktop;
525         *hw_tf_copy = *hw_tf;
526         /* Once we head to the bottom half, consider ourselves interruptible (though
527          * it's not until the first time we do_nmi_work()).  We'll never come back
528          * to this stack.  Doing this in asm so we can easily pass an argument.  We
529          * don't need to call (vs jmp), but it helps keep the stack aligned. */
530         asm volatile("mov $0x0, %%rbp;"
531                      "mov %0, %%rsp;"
532                      "call __nmi_bottom_half;"
533                      : : "r"(worker_stacktop), "D"(hw_tf_copy));
534         assert(0);
535 }
536
537 void handle_double_fault(struct hw_trapframe *hw_tf)
538 {
539         print_trapframe(hw_tf);
540         backtrace_hwtf(hw_tf);
541         panic("Double fault!  Check the kernel stack pointer; you likely ran off the end of the stack.");
542 }
543
544 /* Certain traps want IRQs enabled, such as the syscall.  Others can't handle
545  * it, like the page fault handler.  Turn them on on a case-by-case basis. */
546 static void trap_dispatch(struct hw_trapframe *hw_tf)
547 {
548         struct per_cpu_info *pcpui;
549         bool handled = FALSE;
550         unsigned long aux = 0;
551         uintptr_t fixup_ip;
552
553         // Handle processor exceptions.
554         switch(hw_tf->tf_trapno) {
555                 case T_BRKPT:
556                         if (!in_kernel(hw_tf))
557                                 backtrace_user_ctx(current, current_ctx);
558                         else
559                                 monitor(hw_tf);
560                         handled = TRUE;
561                         break;
562                 case T_ILLOP:
563                 {
564                         /* TODO: this can PF if there is a concurrent unmap/PM removal. */
565                         uintptr_t ip = get_hwtf_pc(hw_tf);
566                         pcpui = &per_cpu_info[core_id()];
567                         pcpui->__lock_checking_enabled--;               /* for print debugging */
568                         /* We will muck with the actual TF.  If we're dealing with
569                          * userspace, we need to make sure we edit the actual TF that will
570                          * get restarted (pcpui), and not the TF on the kstack (which aren't
571                          * the same).  See set_current_ctx() for more info. */
572                         if (!in_kernel(hw_tf))
573                                 hw_tf = &pcpui->cur_ctx->tf.hw_tf;
574                         printd("bad opcode, eip: %p, next 3 bytes: %x %x %x\n", ip,
575                                *(uint8_t*)(ip + 0),
576                                *(uint8_t*)(ip + 1),
577                                *(uint8_t*)(ip + 2));
578                         /* rdtscp: 0f 01 f9 */
579                         if (*(uint8_t*)(ip + 0) == 0x0f,
580                             *(uint8_t*)(ip + 1) == 0x01,
581                             *(uint8_t*)(ip + 2) == 0xf9) {
582                                 x86_fake_rdtscp(hw_tf);
583                                 handled = TRUE;
584                         }
585                         pcpui->__lock_checking_enabled++;               /* for print debugging */
586                         break;
587                 }
588                 case T_PGFLT:
589                         handled = __handle_page_fault(hw_tf, &aux);
590                         break;
591                 case T_GPFLT:
592                 case T_FPERR:
593                         handled = try_handle_exception_fixup(hw_tf);
594                         break;
595                 case T_SYSCALL:
596                         enable_irq();
597                         // check for userspace, for now
598                         assert(hw_tf->tf_cs != GD_KT);
599                         /* Set up and run the async calls */
600                         /* TODO: this is using the wrong reg1 for traps for 32 bit */
601                         prep_syscalls(current,
602                                       (struct syscall*)x86_get_systrap_arg0(hw_tf),
603                                                   (unsigned int)x86_get_systrap_arg1(hw_tf));
604                         disable_irq();
605                         handled = TRUE;
606                         break;
607         }
608
609         if (!handled) {
610                 if (in_kernel(hw_tf)) {
611                         print_trapframe(hw_tf);
612                         panic("Damn Damn!  Unhandled trap in the kernel!");
613                 }
614                 reflect_unhandled_trap(hw_tf->tf_trapno, hw_tf->tf_err, aux);
615         }
616 }
617
618 /* Helper.  For now, this copies out the TF to pcpui.  Eventually, we should
619  * consider doing this in trapentry.S
620  *
621  * TODO: consider having this return the tf used, so we can set tf in trap and
622  * irq handlers to edit the TF that will get restarted.  Right now, the kernel
623  * uses and restarts tf, but userspace restarts the old pcpui tf.  It is
624  * tempting to do this, but note that tf stays on the stack of the kthread,
625  * while pcpui->cur_ctx is for the core we trapped in on.  Meaning if we ever
626  * block, suddenly cur_ctx is pointing to some old clobbered state that was
627  * already returned to and can't be trusted.  Meanwhile tf can always be trusted
628  * (like with an in_kernel() check).  The only types of traps from the user that
629  * can be expected to have editable trapframes are ones that don't block. */
630 static void set_current_ctx_hw(struct per_cpu_info *pcpui,
631                                struct hw_trapframe *hw_tf)
632 {
633         assert(!irq_is_enabled());
634         pcpui->actual_ctx.type = ROS_HW_CTX;
635         pcpui->actual_ctx.tf.hw_tf = *hw_tf;
636         pcpui->cur_ctx = &pcpui->actual_ctx;
637 }
638
639 static void set_current_ctx_sw(struct per_cpu_info *pcpui,
640                                struct sw_trapframe *sw_tf)
641 {
642         assert(!irq_is_enabled());
643         pcpui->actual_ctx.type = ROS_SW_CTX;
644         pcpui->actual_ctx.tf.sw_tf = *sw_tf;
645         pcpui->cur_ctx = &pcpui->actual_ctx;
646 }
647
648 static void set_current_ctx_vm(struct per_cpu_info *pcpui,
649                                struct vm_trapframe *vm_tf)
650 {
651         assert(!irq_is_enabled());
652         pcpui->actual_ctx.type = ROS_VM_CTX;
653         pcpui->actual_ctx.tf.vm_tf = *vm_tf;
654         pcpui->cur_ctx = &pcpui->actual_ctx;
655 }
656
657 void trap(struct hw_trapframe *hw_tf)
658 {
659         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
660         /* Copy out the TF for now */
661         if (!in_kernel(hw_tf)) {
662                 set_current_ctx_hw(pcpui, hw_tf);
663                 /* ignoring state for nested kernel traps.  should be rare. */
664                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
665         } else {
666                 inc_ktrap_depth(pcpui);
667         }
668         printd("Incoming TRAP %d on core %d, TF at %p\n", hw_tf->tf_trapno,
669                core_id(), hw_tf);
670         if ((hw_tf->tf_cs & ~3) != GD_UT && (hw_tf->tf_cs & ~3) != GD_KT) {
671                 print_trapframe(hw_tf);
672                 panic("Trapframe with invalid CS!");
673         }
674         trap_dispatch(hw_tf);
675         /* Return to the current process, which should be runnable.  If we're the
676          * kernel, we should just return naturally.  Note that current and tf need
677          * to still be okay (might not be after blocking) */
678         if (in_kernel(hw_tf)) {
679                 dec_ktrap_depth(pcpui);
680                 return;
681         }
682         proc_restartcore();
683         assert(0);
684 }
685
686 static bool vector_is_irq(int apic_vec)
687 {
688         /* arguably, we could limit them to MaxIdtIOAPIC */
689         return (IdtPIC <= apic_vec) && (apic_vec <= IdtMAX);
690 }
691
692 static void irq_dispatch(struct hw_trapframe *hw_tf)
693 {
694         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
695         struct irq_handler *irq_h;
696
697         if (!in_irq_ctx(pcpui))
698                 __set_cpu_state(pcpui, CPU_STATE_IRQ);
699         inc_irq_depth(pcpui);
700         //if (core_id())
701         if (hw_tf->tf_trapno != IdtLAPIC_TIMER) /* timer irq */
702         if (hw_tf->tf_trapno != I_KERNEL_MSG)
703         if (hw_tf->tf_trapno != 65)     /* qemu serial tends to get this one */
704                 printd("Incoming IRQ, ISR: %d on core %d\n", hw_tf->tf_trapno,
705                        core_id());
706         /* TODO: RCU read lock */
707         irq_h = irq_handlers[hw_tf->tf_trapno];
708         if (!irq_h) {
709                 warn_once("Received IRQ %d, had no handler registered!",
710                           hw_tf->tf_trapno);
711                 /* If we don't have an IRQ handler, we don't know how to EOI.  Odds are,
712                  * it's a LAPIC IRQ, such as I_TESTING */
713                 if (!lapic_check_spurious(hw_tf->tf_trapno))
714                         lapic_send_eoi(hw_tf->tf_trapno);
715                 goto out_no_eoi;
716         }
717         if (irq_h->check_spurious(hw_tf->tf_trapno))
718                 goto out_no_eoi;
719         /* Can now be interrupted/nested by higher priority IRQs, but not by our
720          * current IRQ vector, til we EOI. */
721         enable_irq();
722         while (irq_h) {
723                 irq_h->isr(hw_tf, irq_h->data);
724                 irq_h = irq_h->next;
725         }
726         // if we're a general purpose IPI function call, down the cpu_list
727         extern handler_wrapper_t handler_wrappers[NUM_HANDLER_WRAPPERS];
728         if ((I_SMP_CALL0 <= hw_tf->tf_trapno) &&
729             (hw_tf->tf_trapno <= I_SMP_CALL_LAST))
730                 down_checklist(handler_wrappers[hw_tf->tf_trapno & 0x0f].cpu_list);
731         disable_irq();
732         /* Keep in sync with ipi_is_pending */
733         irq_handlers[hw_tf->tf_trapno]->eoi(hw_tf->tf_trapno);
734         /* Fall-through */
735 out_no_eoi:
736         dec_irq_depth(pcpui);
737         if (!in_irq_ctx(pcpui))
738                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
739 }
740
741 /* Note IRQs are disabled unless explicitly turned on.
742  *
743  * In general, we should only get trapno's >= PIC1_OFFSET (32).  Anything else
744  * should be a trap.  Even if we don't use the PIC, that should be the standard.
745  * It is possible to get a spurious LAPIC IRQ with vector 15 (or similar), but
746  * the spurious check should catch that.
747  *
748  * Note that from hardware's perspective (PIC, etc), IRQs start from 0, but they
749  * are all mapped up at PIC1_OFFSET for the cpu / irq_handler. */
750 void handle_irq(struct hw_trapframe *hw_tf)
751 {
752         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
753
754         /* Copy out the TF for now */
755         if (!in_kernel(hw_tf))
756                 set_current_ctx_hw(pcpui, hw_tf);
757         irq_dispatch(hw_tf);
758         /* Return to the current process, which should be runnable.  If we're the
759          * kernel, we should just return naturally.  Note that current and tf need
760          * to still be okay (might not be after blocking) */
761         if (in_kernel(hw_tf))
762                 return;
763         proc_restartcore();
764         assert(0);
765 }
766
767 /* The irq field may be ignored based on the type of Bus. */
768 int register_irq(int irq, isr_t handler, void *irq_arg, uint32_t tbdf)
769 {
770         struct irq_handler *irq_h;
771         int vector;
772         irq_h = kzmalloc(sizeof(struct irq_handler), 0);
773         assert(irq_h);
774         irq_h->dev_irq = irq;
775         irq_h->tbdf = tbdf;
776         vector = bus_irq_setup(irq_h);
777         if (vector == -1) {
778                 kfree(irq_h);
779                 return -1;
780         }
781         printk("IRQ %d, vector %d (0x%x), type %s\n", irq, vector, vector,
782                irq_h->type);
783         assert(irq_h->check_spurious && irq_h->eoi);
784         irq_h->isr = handler;
785         irq_h->data = irq_arg;
786         irq_h->apic_vector = vector;
787         /* RCU write lock */
788         spin_lock_irqsave(&irq_handler_wlock);
789         irq_h->next = irq_handlers[vector];
790         wmb();  /* make sure irq_h is done before publishing to readers */
791         irq_handlers[vector] = irq_h;
792         spin_unlock_irqsave(&irq_handler_wlock);
793         /* Most IRQs other than the BusIPI should need their irq unmasked.
794          * Might need to pass the irq_h, in case unmask needs more info.
795          * The lapic IRQs need to be unmasked on a per-core basis */
796         if (irq_h->unmask && strcmp(irq_h->type, "lapic"))
797                 irq_h->unmask(irq_h, vector);
798         return 0;
799 }
800
801 /* These routing functions only allow the routing of an irq to a single core.
802  * If we want to route to multiple cores, we'll probably need to set up logical
803  * groups or something and take some additional parameters. */
804 static int route_irq_h(struct irq_handler *irq_h, int os_coreid)
805 {
806         int hw_coreid;
807         if (!irq_h->route_irq) {
808                 printk("[kernel] apic_vec %d, type %s cannot be routed\n",
809                        irq_h->apic_vector, irq_h->type);
810                 return -1;
811         }
812         if (os_coreid >= MAX_NUM_CORES) {
813                 printk("[kernel] os_coreid %d out of range!\n", os_coreid);
814                 return -1;
815         }
816         hw_coreid = get_hw_coreid(os_coreid);
817         if (hw_coreid == -1) {
818                 printk("[kernel] os_coreid %d not a valid hw core!\n", os_coreid);
819                 return -1;
820         }
821         irq_h->route_irq(irq_h, irq_h->apic_vector, hw_coreid);
822         return 0;
823 }
824
825 /* Routes all irqs for a given apic_vector to os_coreid.  Returns 0 if all of
826  * them succeeded.  -1 if there were none or if any of them failed.  We don't
827  * share IRQs often (if ever anymore), so this shouldn't be an issue. */
828 int route_irqs(int apic_vec, int os_coreid)
829 {
830         struct irq_handler *irq_h;
831         int ret = -1;
832         if (!vector_is_irq(apic_vec)) {
833                 printk("[kernel] vector %d is not an IRQ vector!\n", apic_vec);
834                 return -1;
835         }
836         irq_h = irq_handlers[apic_vec];
837         while (irq_h) {
838                 assert(irq_h->apic_vector == apic_vec);
839                 ret = route_irq_h(irq_h, os_coreid);
840                 irq_h = irq_h->next;
841         }
842         return ret;
843 }
844
845 /* It's a moderate pain in the ass to put these in bit-specific files (header
846  * hell with the set_current_ helpers) */
847 void sysenter_callwrapper(struct syscall *sysc, unsigned long count,
848                           struct sw_trapframe *sw_tf)
849 {
850         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
851         set_current_ctx_sw(pcpui, sw_tf);
852         __set_cpu_state(pcpui, CPU_STATE_KERNEL);
853         /* Once we've set_current_ctx, we can enable interrupts.  This used to be
854          * mandatory (we had immediate KMSGs that would muck with cur_ctx).  Now it
855          * should only help for sanity/debugging. */
856         enable_irq();
857         /* Set up and run the async calls.  This may block, and we could migrate to
858          * another core.  If you use pcpui again, you need to reread it. */
859         prep_syscalls(current, sysc, count);
860         disable_irq();
861         proc_restartcore();
862 }
863
864 /* Declared in x86/arch.h */
865 void send_ipi(uint32_t os_coreid, uint8_t vector)
866 {
867         int hw_coreid = get_hw_coreid(os_coreid);
868         if (hw_coreid == -1) {
869                 panic("Unmapped OS coreid (OS %d)!\n", os_coreid);
870                 return;
871         }
872         assert(vector != T_NMI);
873         __send_ipi(hw_coreid, vector);
874 }
875
876 /****************** VM exit handling ******************/
877
878 static bool handle_vmexit_cpuid(struct vm_trapframe *tf)
879 {
880         uint32_t eax, ebx, ecx, edx;
881
882         if (tf->tf_rax == 0x0B)
883                 return FALSE;   // Handle in userspace.
884
885         cpuid(tf->tf_rax, tf->tf_rcx, &eax, &ebx, &ecx, &edx);
886         switch (tf->tf_rax) {
887                 case 0x01:
888                         /* Set the hypervisor bit to let the guest know it is virtualized */
889                         ecx |= 1 << 31;
890                         /* Unset the monitor capability bit so that the guest does not try
891                          * to use monitor/mwait. */
892                         ecx &= ~(1 << 3);
893                         /* Unset the vmx capability bit so that the guest does not try
894                          * to turn it on. */
895                         ecx &= ~(1 << 5);
896                         /* Unset the perf capability bit so that the guest does not try
897                          * to turn it on. */
898                         ecx &= ~(1 << 15);
899
900                         /* Set the guest pcore id into the apic ID field in CPUID. */
901                         ebx &= 0x0000ffff;
902                         ebx |= (current->vmm.nr_guest_pcores & 0xff) << 16;
903                         ebx |= (tf->tf_guest_pcoreid & 0xff) << 24;
904                         break;
905                 case 0x0A:
906                         eax = 0;
907                         ebx = 0;
908                         ecx = 0;
909                         edx = 0;
910                         break;
911                 /* Signal the use of KVM. */
912                 case 0x40000000:
913                         eax = 0;
914                         ebx = 0x4b4d564b;
915                         ecx = 0x564b4d56;
916                         edx = 0x0000004d;
917                         break;
918                 /* Hypervisor Features. */
919                 case 0x40000003:
920                         /* Unset the monitor capability bit so that the guest does not try
921                          * to use monitor/mwait. */
922                         edx &= ~(1 << 0);
923                         break;
924                 default:
925                         break;
926         }
927         tf->tf_rax = eax;
928         tf->tf_rbx = ebx;
929         tf->tf_rcx = ecx;
930         tf->tf_rdx = edx;
931         tf->tf_rip += 2;
932         return TRUE;
933 }
934
935 static bool handle_vmexit_ept_fault(struct vm_trapframe *tf)
936 {
937         int prot = 0;
938         int ret;
939
940         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_READ ? PROT_READ : 0;
941         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_WRITE ? PROT_WRITE : 0;
942         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_INS ? PROT_EXEC : 0;
943         ret = handle_page_fault(current, tf->tf_guest_pa, prot);
944         if (ret == 0)
945                 return TRUE;
946
947         //Mirror behavior in uthreads, tell userspace to try again.
948         if (ret == -EAGAIN)
949                 tf->tf_flags |= VMCTX_FL_EPT_VMR_BACKED;
950
951         return FALSE;
952 }
953
954 /* Regarding NMI blocking,
955  *              "An NMI causes subsequent NMIs to be blocked, but only after the VM exit
956  *              completes." (SDM)
957  *
958  * Like handle_nmi(), this function and anything it calls directly cannot fault,
959  * or else we lose our NMI protections. */
960 static bool handle_vmexit_nmi(struct vm_trapframe *tf)
961 {
962         /* Sanity checks, make sure we really got an NMI.  Feel free to remove. */
963         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_NMI_INTR);
964         assert((tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK) == T_NMI);
965         assert(!irq_is_enabled());
966
967         emit_monitor_backtrace(ROS_VM_CTX, tf);
968         perfmon_snapshot_vmtf(tf);
969         send_self_ipi(IdtLAPIC_PCINT);
970         return TRUE;
971 }
972
973 bool handle_vmexit_msr(struct vm_trapframe *tf)
974 {
975         bool ret;
976
977         ret = vmm_emulate_msr(tf,
978                               (tf->tf_exit_reason == EXIT_REASON_MSR_READ
979                                                    ? VMM_MSR_EMU_READ : VMM_MSR_EMU_WRITE));
980         if (ret)
981                 tf->tf_rip += 2;
982         return ret;
983 }
984
985 bool handle_vmexit_extirq(struct vm_trapframe *tf)
986 {
987         struct hw_trapframe hw_tf;
988
989         /* For now, we just handle external IRQs.  I think guest traps should go to
990          * the guest, based on our vmctls */
991         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_EXT_INTR);
992         /* TODO: Our IRQ handlers all expect TFs.  Let's fake one.  A bunch of
993          * handlers (e.g. backtrace/perf) will probably be unhappy about a user TF
994          * that is really a VM, so this all needs work. */
995         hw_tf.tf_gsbase = 0;
996         hw_tf.tf_fsbase = 0;
997         hw_tf.tf_rax = tf->tf_rax;
998         hw_tf.tf_rbx = tf->tf_rbx;
999         hw_tf.tf_rcx = tf->tf_rcx;
1000         hw_tf.tf_rdx = tf->tf_rdx;
1001         hw_tf.tf_rbp = tf->tf_rbp;
1002         hw_tf.tf_rsi = tf->tf_rsi;
1003         hw_tf.tf_rdi = tf->tf_rdi;
1004         hw_tf.tf_r8 = tf->tf_r8;
1005         hw_tf.tf_r9 = tf->tf_r9;
1006         hw_tf.tf_r10 = tf->tf_r10;
1007         hw_tf.tf_r11 = tf->tf_r11;
1008         hw_tf.tf_r12 = tf->tf_r12;
1009         hw_tf.tf_r13 = tf->tf_r13;
1010         hw_tf.tf_r14 = tf->tf_r14;
1011         hw_tf.tf_r15 = tf->tf_r15;
1012         hw_tf.tf_trapno = tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK;
1013         hw_tf.tf_err = 0;
1014         hw_tf.tf_rip = tf->tf_rip;
1015         hw_tf.tf_cs = GD_UT;    /* faking a user TF, even though it's a VM */
1016         hw_tf.tf_rflags = tf->tf_rflags;
1017         hw_tf.tf_rsp = tf->tf_rsp;
1018         hw_tf.tf_ss = GD_UD;
1019
1020         irq_dispatch(&hw_tf);
1021         /* Consider returning whether or not there was a handler registered */
1022         return TRUE;
1023 }
1024
1025 static bool handle_vmexit_xsetbv(struct vm_trapframe *tf)
1026 {
1027         // The VM's requested-feature bitmap is represented by edx:eax
1028         uint64_t vm_rfbm = (tf->tf_rdx << 32) | tf->tf_rax;
1029
1030         // If the VM tries to set xcr0 to a superset
1031         // of Akaros's default value, kill the VM.
1032
1033         // Bit in vm_rfbm and x86_default_xcr0:        Ok. Requested and allowed.
1034         // Bit in vm_rfbm but not x86_default_xcr0:    Bad! Requested, not allowed.
1035         // Bit not in vm_rfbm but in x86_default_xcr0: Ok. Not requested.
1036
1037         // vm_rfbm & (~x86_default_xcr0) is nonzero if any bits
1038         // are set in vm_rfbm but not x86_default_xcr0
1039
1040         if (vm_rfbm & (~__proc_global_info.x86_default_xcr0))
1041                 return FALSE;
1042
1043
1044         // If attempting to use vm_rfbm for xsetbv
1045         // causes a fault, we reflect to the VMM.
1046         if (safe_lxcr0(vm_rfbm))
1047                 return FALSE;
1048
1049
1050         // If no fault, advance the instruction pointer
1051         // and return TRUE to make the VM resume.
1052         tf->tf_rip += 3; // XSETBV is a 3-byte instruction
1053         return TRUE;
1054 }
1055
1056 static void vmexit_dispatch(struct vm_trapframe *tf)
1057 {
1058         bool handled = FALSE;
1059
1060         /* Do not block in any of these functions.
1061          *
1062          * If we block, we'll probably need to finalize the context.  If we do, then
1063          * there's a chance the guest pcore can start somewhere else, and then we
1064          * can't get the GPC loaded again.  Plus, they could be running a GPC with
1065          * an unresolved vmexit.  It's just mess.
1066          *
1067          * If we want to enable IRQs, we can do so on a case-by-case basis.  Don't
1068          * do it for external IRQs - the irq_dispatch code will handle it. */
1069         switch (tf->tf_exit_reason) {
1070         case EXIT_REASON_VMCALL:
1071                 if (current->vmm.flags & VMM_VMCALL_PRINTF &&
1072                     tf->tf_rax == VMCALL_PRINTC) {
1073                         printk("%c", tf->tf_rdi);
1074                         tf->tf_rip += 3;
1075                         handled = TRUE;
1076                 }
1077                 break;
1078         case EXIT_REASON_CPUID:
1079                 handled = handle_vmexit_cpuid(tf);
1080                 break;
1081         case EXIT_REASON_EPT_VIOLATION:
1082                 handled = handle_vmexit_ept_fault(tf);
1083                 break;
1084         case EXIT_REASON_EXCEPTION_NMI:
1085                 handled = handle_vmexit_nmi(tf);
1086                 break;
1087         case EXIT_REASON_MSR_READ:
1088         case EXIT_REASON_MSR_WRITE:
1089                 handled = handle_vmexit_msr(tf);
1090                 break;
1091         case EXIT_REASON_EXTERNAL_INTERRUPT:
1092                 handled = handle_vmexit_extirq(tf);
1093                 break;
1094         case EXIT_REASON_XSETBV:
1095                 handled = handle_vmexit_xsetbv(tf);
1096                 break;
1097         default:
1098                 printd("Unhandled vmexit: reason 0x%x, exit qualification 0x%x\n",
1099                        tf->tf_exit_reason, tf->tf_exit_qual);
1100         }
1101         if (!handled) {
1102                 tf->tf_flags |= VMCTX_FL_HAS_FAULT;
1103                 if (reflect_current_context()) {
1104                         /* VM contexts shouldn't be in vcore context, so this should be
1105                          * pretty rare (unlike SCPs or VC ctx page faults). */
1106                         printk("[kernel] Unable to reflect VM Exit\n");
1107                         print_vmtrapframe(tf);
1108                         proc_destroy(current);
1109                 }
1110         }
1111 }
1112
1113 void handle_vmexit(struct vm_trapframe *tf)
1114 {
1115         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1116
1117         tf->tf_rip = vmcs_read(GUEST_RIP);
1118         tf->tf_rflags = vmcs_read(GUEST_RFLAGS);
1119         tf->tf_rsp = vmcs_read(GUEST_RSP);
1120         tf->tf_cr2 = rcr2();
1121         tf->tf_cr3 = vmcs_read(GUEST_CR3);
1122         tf->tf_guest_pcoreid = pcpui->guest_pcoreid;
1123         tf->tf_flags |= VMCTX_FL_PARTIAL;
1124         tf->tf_guest_intr_status = vmcs_read(GUEST_INTR_STATUS);
1125         tf->tf_exit_reason = vmcs_read(VM_EXIT_REASON);
1126         tf->tf_exit_qual = vmcs_read(EXIT_QUALIFICATION);
1127         tf->tf_intrinfo1 = vmcs_read(GUEST_INTERRUPTIBILITY_INFO);
1128         tf->tf_intrinfo2 = vmcs_read(VM_EXIT_INTR_INFO);
1129         tf->tf_guest_va = vmcs_read(GUEST_LINEAR_ADDRESS);
1130         tf->tf_guest_pa = vmcs_read(GUEST_PHYSICAL_ADDRESS);
1131
1132         set_current_ctx_vm(pcpui, tf);
1133         __set_cpu_state(pcpui, CPU_STATE_KERNEL);
1134         tf = &pcpui->cur_ctx->tf.vm_tf;
1135         vmexit_dispatch(tf);
1136         /* We're either restarting a partial VM ctx (vmcs was launched, loaded on
1137          * the core, etc) or a SW vc ctx for the reflected trap.  Or the proc is
1138          * dying and we'll handle a __death KMSG shortly. */
1139         proc_restartcore();
1140 }
1141
1142 /* Partial contexts for HW and SW TFs have the user's gs in MSR_KERNEL_GS_BASE.
1143  * The kernel's gs is loaded into gs.  We need to put the kernel's gs into
1144  * KERNEL_GS_BASE so the core is ready to run another full context, save the
1145  * user's {GS,FS}_BASE into their TF so it can run on another core, and keep GS
1146  * loaded with the current GS (the kernel's). */
1147 static void x86_finalize_hwtf(struct hw_trapframe *tf)
1148 {
1149         tf->tf_gsbase = read_kern_gsbase();
1150         write_kern_gsbase(read_gsbase());
1151         tf->tf_fsbase = read_fsbase();
1152         x86_hwtf_clear_partial(tf);
1153 }
1154
1155 static void x86_finalize_swtf(struct sw_trapframe *tf)
1156 {
1157         tf->tf_gsbase = read_kern_gsbase();
1158         write_kern_gsbase(read_gsbase());
1159         tf->tf_fsbase = read_fsbase();
1160         x86_swtf_clear_partial(tf);
1161 }
1162
1163 static void x86_finalize_vmtf(struct vm_trapframe *tf)
1164 {
1165         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1166
1167         x86_vmtf_clear_partial(tf);
1168         unload_guest_pcore(pcpui->owning_proc, pcpui->guest_pcoreid);
1169 }
1170
1171 /* Makes sure that the user context is fully saved into ctx and not split across
1172  * the struct and HW, meaning it is not a "partial context".
1173  *
1174  * Be careful to zero out any part of the ctx struct not in use, to avoid
1175  * leaking information from other processes. */
1176 void arch_finalize_ctx(struct user_context *ctx)
1177 {
1178         if (!arch_ctx_is_partial(ctx))
1179                 return;
1180         switch (ctx->type) {
1181         case ROS_HW_CTX:
1182                 x86_finalize_hwtf(&ctx->tf.hw_tf);
1183                 memset((uint8_t*)&ctx->tf + sizeof(struct hw_trapframe), 0,
1184                            sizeof(ctx->tf) - sizeof(struct hw_trapframe));
1185                 break;
1186         case ROS_SW_CTX:
1187                 x86_finalize_swtf(&ctx->tf.sw_tf);
1188                 memset((uint8_t*)&ctx->tf + sizeof(struct sw_trapframe), 0,
1189                            sizeof(ctx->tf) - sizeof(struct sw_trapframe));
1190                 break;
1191         case ROS_VM_CTX:
1192                 x86_finalize_vmtf(&ctx->tf.vm_tf);
1193                 memset((uint8_t*)&ctx->tf + sizeof(struct vm_trapframe), 0,
1194                            sizeof(ctx->tf) - sizeof(struct vm_trapframe));
1195                 break;
1196         }
1197 }