Clear excess parts of contexts when finalizing
[akaros.git] / kern / arch / x86 / trap.c
1 #include <arch/mmu.h>
2 #include <arch/x86.h>
3 #include <arch/arch.h>
4 #include <arch/console.h>
5 #include <arch/apic.h>
6 #include <arch/perfmon.h>
7 #include <ros/common.h>
8 #include <smp.h>
9 #include <assert.h>
10 #include <pmap.h>
11 #include <trap.h>
12 #include <monitor.h>
13 #include <process.h>
14 #include <mm.h>
15 #include <stdio.h>
16 #include <slab.h>
17 #include <syscall.h>
18 #include <kdebug.h>
19 #include <kmalloc.h>
20 #include <ex_table.h>
21 #include <arch/mptables.h>
22 #include <ros/procinfo.h>
23
24 enum {
25         NMI_NORMAL_OPN = 0,
26         NMI_IN_PROGRESS,
27         NMI_HANDLE_ANOTHER,
28 };
29
30 taskstate_t ts;
31
32 /* Interrupt descriptor table.  64 bit needs 16 byte alignment (i think). */
33 gatedesc_t __attribute__((aligned (16))) idt[256] = { { 0 } };
34 pseudodesc_t idt_pd;
35
36 /* interrupt handler table, each element is a linked list of handlers for a
37  * given IRQ.  Modification requires holding the lock (TODO: RCU) */
38 struct irq_handler *irq_handlers[NUM_IRQS];
39 spinlock_t irq_handler_wlock = SPINLOCK_INITIALIZER_IRQSAVE;
40
41 static bool try_handle_exception_fixup(struct hw_trapframe *hw_tf)
42 {
43         if (in_kernel(hw_tf)) {
44                 uintptr_t fixup_ip = get_fixup_ip(hw_tf->tf_rip);
45
46                 if (fixup_ip != 0) {
47                         hw_tf->tf_rip = fixup_ip;
48                         return true;
49                 }
50         }
51
52         return false;
53 }
54
55 const char *x86_trapname(int trapno)
56 {
57         static const char *const excnames[] = {
58                 "Divide error",
59                 "Debug",
60                 "Non-Maskable Interrupt",
61                 "Breakpoint",
62                 "Overflow",
63                 "BOUND Range Exceeded",
64                 "Invalid Opcode",
65                 "Device Not Available",
66                 "Double Fault",
67                 "Coprocessor Segment Overrun",
68                 "Invalid TSS",
69                 "Segment Not Present",
70                 "Stack Fault",
71                 "General Protection",
72                 "Page Fault",
73                 "(unknown trap)",
74                 "x87 FPU Floating-Point Error",
75                 "Alignment Check",
76                 "Machine-Check",
77                 "SIMD Floating-Point Exception"
78         };
79
80         if (trapno < sizeof(excnames)/sizeof(excnames[0]))
81                 return excnames[trapno];
82         if (trapno == T_SYSCALL)
83                 return "System call";
84         return "(unknown trap)";
85 }
86
87 /* Set stacktop for the current core to be the stack the kernel will start on
88  * when trapping/interrupting from userspace.  Don't use this til after
89  * smp_percpu_init().  We can probably get the TSS by reading the task register
90  * and then the GDT.  Still, it's a pain. */
91 void set_stack_top(uintptr_t stacktop)
92 {
93         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
94         /* No need to reload the task register, this takes effect immediately */
95         x86_set_stacktop_tss(pcpui->tss, stacktop);
96         /* Also need to make sure sysenters come in correctly */
97         x86_set_sysenter_stacktop(stacktop);
98 }
99
100 /* Note the check implies we only are on a one page stack (or the first page) */
101 uintptr_t get_stack_top(void)
102 {
103         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
104         uintptr_t stacktop;
105         /* so we can check this in interrupt handlers (before smp_boot()) */
106         /* TODO: These are dangerous - it assumes we're on a one-page stack.  If we
107          * change it to KSTKSIZE, then we assume stacks are KSTKSIZE-aligned */
108         if (!pcpui->tss)
109                 return ROUNDUP(read_sp(), PGSIZE);
110         stacktop = x86_get_stacktop_tss(pcpui->tss);
111         if (stacktop != ROUNDUP(read_sp(), PGSIZE))
112                 panic("Bad stacktop: %p esp one is %p\n", stacktop,
113                       ROUNDUP(read_sp(), PGSIZE));
114         return stacktop;
115 }
116
117 /* Sends a non-maskable interrupt; the handler will print a trapframe. */
118 void send_nmi(uint32_t os_coreid)
119 {
120         /* NMI / IPI for x86 are limited to 8 bits */
121         uint8_t hw_core = (uint8_t)get_hw_coreid(os_coreid);
122         __send_nmi(hw_core);
123 }
124
125 void idt_init(void)
126 {
127         /* This table is made in trapentry$BITS.S by each macro in that file.
128          * It is layed out such that the ith entry is the ith's traphandler's
129          * (uintptr_t) trap addr, then (uint32_t) trap number. */
130         struct trapinfo { uintptr_t trapaddr; uint32_t trapnumber; }
131                __attribute__((packed));
132         extern struct trapinfo trap_tbl[];
133         extern struct trapinfo trap_tbl_end[];
134         int i, trap_tbl_size = trap_tbl_end - trap_tbl;
135         extern void ISR_default(void);
136         extern void ISR_syscall(void);
137
138         /* set all to default, to catch everything */
139         for (i = 0; i < 256; i++)
140                 SETGATE(idt[i], 0, GD_KT, &ISR_default, 0);
141
142         /* set all entries that have real trap handlers
143          * we need to stop short of the last one, since the last is the default
144          * handler with a fake interrupt number (500) that is out of bounds of
145          * the idt[] */
146         for (i = 0; i < trap_tbl_size - 1; i++)
147                 SETGATE(idt[trap_tbl[i].trapnumber], 0, GD_KT, trap_tbl[i].trapaddr, 0);
148         /* Sanity check */
149         assert((uintptr_t)ISR_syscall ==
150                ((uintptr_t)idt[T_SYSCALL].gd_off_63_32 << 32 |
151                 (uintptr_t)idt[T_SYSCALL].gd_off_31_16 << 16 |
152                 (uintptr_t)idt[T_SYSCALL].gd_off_15_0));
153         /* turn on trap-based syscall handling and other user-accessible ints
154          * DPL 3 means this can be triggered by the int instruction */
155         idt[T_SYSCALL].gd_dpl = 3;
156         idt[T_BRKPT].gd_dpl = 3;
157         /* Send NMIs to their own stack (IST1 in every core's TSS) */
158         idt[T_NMI].gd_ist = 1;
159
160         /* Set up our kernel stack when changing rings */
161         /* Note: we want 16 byte aligned kernel stack frames (AMD 2:8.9.3) */
162         x86_set_stacktop_tss(&ts, (uintptr_t)bootstacktop);
163         x86_sysenter_init((uintptr_t)bootstacktop);
164
165 #ifdef CONFIG_KTHREAD_POISON
166         *kstack_bottom_addr((uintptr_t)bootstacktop) = 0xdeadbeef;
167 #endif /* CONFIG_KTHREAD_POISON */
168
169         /* Initialize the TSS field of the gdt.  The size of the TSS desc differs
170          * between 64 and 32 bit, hence the pointer acrobatics */
171         syssegdesc_t *ts_slot = (syssegdesc_t*)&gdt[GD_TSS >> 3];
172         *ts_slot = (syssegdesc_t)SEG_SYS_SMALL(STS_T32A, (uintptr_t)&ts,
173                                                sizeof(taskstate_t), 0);
174
175         /* Init the IDT PD.  Need to do this before ltr for some reason.  (Doing
176          * this between ltr and lidt causes the machine to reboot... */
177         idt_pd.pd_lim = sizeof(idt) - 1;
178         idt_pd.pd_base = (uintptr_t)idt;
179
180         ltr(GD_TSS);
181
182         asm volatile("lidt %0" : : "m"(idt_pd));
183
184         pic_remap();
185         pic_mask_all();
186
187         int ncleft = MAX_NUM_CORES;
188         int num_cores_mpacpi;
189
190         ncleft = mpsinit(ncleft);
191         ncleft = mpacpi(ncleft);
192         num_cores_mpacpi = MAX_NUM_CORES - ncleft;
193         printk("MP and ACPI found %d cores\n", num_cores_mpacpi);
194         if (num_cores != num_cores_mpacpi)
195                 warn("Topology (%d) and MP/ACPI (%d) differ on num_cores!", num_cores,
196                      num_cores_mpacpi);
197
198         apiconline();
199         ioapiconline();
200
201         /* the lapic IRQs need to be unmasked on a per-core basis */
202         register_irq(IdtLAPIC_TIMER, timer_interrupt, NULL,
203                      MKBUS(BusLAPIC, 0, 0, 0));
204         register_irq(IdtLAPIC_ERROR, handle_lapic_error, NULL,
205                      MKBUS(BusLAPIC, 0, 0, 0));
206         register_irq(IdtLAPIC_PCINT, perfmon_interrupt, NULL,
207                      MKBUS(BusLAPIC, 0, 0, 0));
208         register_irq(I_KERNEL_MSG, handle_kmsg_ipi, NULL, MKBUS(BusIPI, 0, 0, 0));
209 }
210
211 static void handle_fperr(struct hw_trapframe *hw_tf)
212 {
213         uint16_t fpcw, fpsw;
214         uint32_t mxcsr;
215         asm volatile ("fnstcw %0" : "=m"(fpcw));
216         asm volatile ("fnstsw %0" : "=m"(fpsw));
217         asm volatile ("stmxcsr %0" : "=m"(mxcsr));
218         print_trapframe(hw_tf);
219         printk("Core %d: FP ERR, CW: 0x%04x, SW: 0x%04x, MXCSR 0x%08x\n", core_id(),
220                fpcw, fpsw, mxcsr);
221         printk("Core %d: The following faults are unmasked:\n", core_id());
222         if (fpsw & ~fpcw & FP_EXCP_IE) {
223                 printk("\tInvalid Operation: ");
224                 if (fpsw & FP_SW_SF) {
225                         if (fpsw & FP_SW_C1)
226                                 printk("Stack overflow\n");
227                         else
228                                 printk("Stack underflow\n");
229                 } else {
230                         printk("invalid arithmetic operand\n");
231                 }
232         }
233         if (fpsw & ~fpcw & FP_EXCP_DE)
234                 printk("\tDenormalized operand\n");
235         if (fpsw & ~fpcw & FP_EXCP_ZE)
236                 printk("\tDivide by zero\n");
237         if (fpsw & ~fpcw & FP_EXCP_OE)
238                 printk("\tNumeric Overflow\n");
239         if (fpsw & ~fpcw & FP_EXCP_UE)
240                 printk("\tNumeric Underflow\n");
241         if (fpsw & ~fpcw & FP_EXCP_PE)
242                 printk("\tInexact result (precision)\n");
243         printk("Killing the process.\n");
244         proc_destroy(current);
245 }
246
247 static bool __handler_user_page_fault(struct hw_trapframe *hw_tf,
248                                       uintptr_t fault_va, int prot)
249 {
250         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
251         int err;
252
253         assert(pcpui->owning_proc == pcpui->cur_proc);
254         enable_irq();
255         err = handle_page_fault(pcpui->owning_proc, fault_va, prot);
256         disable_irq();
257         if (err) {
258                 if (err == -EAGAIN)
259                         hw_tf->tf_err |= PF_VMR_BACKED;
260                 return FALSE;
261         }
262         return TRUE;
263 }
264
265 static bool __handler_kernel_page_fault(struct hw_trapframe *hw_tf,
266                                         uintptr_t fault_va, int prot)
267 {
268         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
269         int err;
270
271         /* In general, if there's no cur_proc, a KPF is a bug. */
272         if (!pcpui->cur_proc) {
273                 /* This only runs from test_uaccess(), where it is expected to fail. */
274                 if (try_handle_exception_fixup(hw_tf))
275                         return TRUE;
276                 print_trapframe(hw_tf);
277                 backtrace_hwtf(hw_tf);
278                 panic("Proc-less Page Fault in the Kernel at %p!", fault_va);
279         }
280         /* TODO - handle kernel page faults.  This is dangerous, since we might be
281          * holding locks in the kernel and could deadlock when we HPF.  For now, I'm
282          * just disabling the lock checker, since it'll flip out when it sees there
283          * is a kernel trap.  Will need to think about this a bit, esp when we
284          * properly handle bad addrs and whatnot. */
285         pcpui->__lock_checking_enabled--;
286         /* It is a bug for the kernel to access user memory while holding locks that
287          * are used by handle_page_fault.  At a minimum, this includes p->vmr_lock
288          * and memory allocation locks.
289          *
290          * In an effort to reduce the number of locks (both now and in the future),
291          * the kernel will not attempt to handle faults on file-back VMRs.  We
292          * probably can turn that on in the future, but I'd rather keep things safe
293          * for now.  (We'll probably need to change this when we stop
294          * MAP_POPULATE | MAP_LOCKED entire binaries).
295          *
296          * Note that we do not enable IRQs here, unlike in the user case.  Again,
297          * this is to limit the locks we could be grabbing. */
298         err = handle_page_fault_nofile(pcpui->cur_proc, fault_va, prot);
299         pcpui->__lock_checking_enabled++;
300         if (err) {
301                 if (try_handle_exception_fixup(hw_tf))
302                         return TRUE;
303                 print_trapframe(hw_tf);
304                 backtrace_hwtf(hw_tf);
305                 /* Turn this on to help debug bad function pointers */
306                 printd("rsp %p\n\t 0(rsp): %p\n\t 8(rsp): %p\n\t 16(rsp): %p\n"
307                        "\t24(rsp): %p\n", hw_tf->tf_rsp,
308                        *(uintptr_t*)(hw_tf->tf_rsp +  0),
309                        *(uintptr_t*)(hw_tf->tf_rsp +  8),
310                        *(uintptr_t*)(hw_tf->tf_rsp + 16),
311                        *(uintptr_t*)(hw_tf->tf_rsp + 24));
312                 panic("Proc-ful Page Fault in the Kernel at %p!", fault_va);
313                 /* if we want to do something like kill a process or other code, be
314                  * aware we are in a sort of irq-like context, meaning the main
315                  * kernel code we 'interrupted' could be holding locks - even
316                  * irqsave locks. */
317         }
318         return TRUE;
319 }
320
321 static bool __handle_page_fault(struct hw_trapframe *hw_tf, unsigned long *aux)
322 {
323         uintptr_t fault_va = rcr2();
324         int prot = hw_tf->tf_err & PF_ERROR_WRITE ? PROT_WRITE : PROT_READ;
325
326         *aux = fault_va;
327         if (in_kernel(hw_tf))
328                 return __handler_kernel_page_fault(hw_tf, fault_va, prot);
329         else
330                 return __handler_user_page_fault(hw_tf, fault_va, prot);
331 }
332
333 /* Actual body of work done when an NMI arrives */
334 static void do_nmi_work(struct hw_trapframe *hw_tf)
335 {
336         assert(!irq_is_enabled());
337         /* It's mostly harmless to snapshot the TF, and we can send a spurious PCINT
338          * interrupt.  perfmon.c just uses the interrupt to tell it to check its
339          * counters for overflow.  Note that the PCINT interrupt is just a regular
340          * IRQ.  The backtrace was recorded during the NMI and emitted during IRQ.
341          *
342          * That being said, it's OK if the monitor triggers debugging NMIs while
343          * perf is running.  If perf triggers an NMI when the monitor wants to
344          * print, the monitor will debug *that* NMI, and not the one that gets sent
345          * moments later.  That's fine. */
346         emit_monitor_backtrace(ROS_HW_CTX, hw_tf);
347         perfmon_snapshot_hwtf(hw_tf);
348         send_self_ipi(IdtLAPIC_PCINT);
349 }
350
351 /* NMI HW_TF hacking involves four symbols:
352  *
353  * [__nmi_pop_ok_start, __nmi_pop_ok_end) mark the beginning and end of the
354  * code for an nmi popping routine that will actually pop at the end.
355  *
356  * [__nmi_pop_fail_start, __nmi_pop_fail_end) mark the beginning and end of the
357  * shadow code for an nmi popping routine that will fail at the end.
358  *
359  * If we see a TF in the OK section, we'll move it to the FAIL section.  If it's
360  * already in the FAIL section, we'll report that as a success. */
361 extern char __nmi_pop_ok_start[], __nmi_pop_ok_end[];
362 extern char __nmi_pop_fail_start[], __nmi_pop_fail_end[];
363
364 static bool nmi_hw_tf_needs_hacked(struct hw_trapframe *hw_tf)
365 {
366         return ((uintptr_t)__nmi_pop_ok_start <= hw_tf->tf_rip) &&
367                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_ok_end);
368 }
369
370 static bool nmi_hw_tf_was_hacked(struct hw_trapframe *hw_tf)
371 {
372         return ((uintptr_t)__nmi_pop_fail_start <= hw_tf->tf_rip) &&
373                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_fail_end);
374 }
375
376 /* Helper.  Hacks the TF if it was in the OK section so that it is at the same
377  * spot in the FAIL section.  Returns TRUE if the TF is hacked, meaning the NMI
378  * handler can just return. */
379 static bool nmi_check_and_hack_tf(struct hw_trapframe *hw_tf)
380 {
381         uintptr_t offset;
382
383         if (!nmi_hw_tf_needs_hacked(hw_tf))
384                 return FALSE;
385         if (nmi_hw_tf_was_hacked(hw_tf))
386                 return TRUE;
387         offset = hw_tf->tf_rip - (uintptr_t)__nmi_pop_ok_start;
388         hw_tf->tf_rip = (uintptr_t)__nmi_pop_fail_start + offset;
389         return TRUE;
390 }
391
392 /* Bottom half of the NMI handler.  This can be interrupted under some
393  * circumstances by NMIs.  It exits by popping the hw_tf in assembly. */
394 void __attribute__((noinline, noreturn))
395 __nmi_bottom_half(struct hw_trapframe *hw_tf)
396 {
397         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
398
399         while (1) {
400                 /* Signal that we're doing work.  A concurrent NMI will set this to
401                  * NMI_HANDLE_ANOTHER if we should continue, which we'll catch later. */
402                 pcpui->nmi_status = NMI_IN_PROGRESS;
403                 do_nmi_work(hw_tf);
404                 /* We need to check nmi_status to see if it is NMI_HANDLE_ANOTHER (if
405                  * so, run again), write NMI_NORMAL_OPN, leave this stack, and return to
406                  * the original context.  We need to do that in such a manner that an
407                  * NMI can come in at any time.  There are two concerns.
408                  *
409                  * First, we need to not "miss the signal" telling us to re-run the NMI
410                  * handler.  To do that, we'll do the actual checking in asm.  Being in
411                  * the asm code block is a signal to the real NMI handler that we need
412                  * to abort and do_nmi_work() again.
413                  *
414                  * Second, we need to atomically leave the stack and return.  By being
415                  * in asm, the NMI handler knows to just hack our PC to make us return,
416                  * instead of starting up a fresh __nmi_bottom_half().
417                  *
418                  * The NMI handler works together with the following function such that
419                  * if that race occurs while we're in the function, it'll fail and
420                  * return.  Then we'll just do_nmi_work() and try again. */
421                 extern void nmi_try_to_pop(struct hw_trapframe *tf, int *status,
422                                            int old_val, int new_val);
423
424                 nmi_try_to_pop(hw_tf, &pcpui->nmi_status, NMI_IN_PROGRESS,
425                                NMI_NORMAL_OPN);
426                 /* Either we returned on our own, since we lost a race with nmi_status
427                  * and didn't write (status = ANOTHER), or we won the race, but an NMI
428                  * handler set the status to ANOTHER and restarted us. */
429                 assert(pcpui->nmi_status != NMI_NORMAL_OPN);
430         }
431 }
432
433 /* Separate handler from traps, since there's too many rules for NMI ctx.
434  *
435  * The general rule is that any writes from NMI context must be very careful.
436  * When talking about reads and writes to per-core data:
437  * - If NMIs write things written by normal kernel contexts, including IRQs and
438  *   traps with IRQs disabled, then you must use atomics on both sides.
439  * - If NMIs write things read by normal contexts, then readers must be careful,
440  *   since the data can change at will.
441  * - If NMIs read things written by normal contexts, don't worry: you're running
442  *   uninterrupted (given x86 NMI caveats).
443  * - We cannot block.  The current kthread thinks its stacktop is different than
444  *   the one we're on.  Just get in and get out.
445  * - If we interrupted a user TF, then we don't need to worry any more than for
446  *   normal traps/IRQs.
447  * - However, we cannot call proc_restartcore.  That could trigger all sorts of
448  *   things, like kthreads blocking.
449  * - Parallel accesses (from other cores) are the same as always.  You just
450  *   can't lock easily.
451  *
452  * Normally, once you're in NMI, other NMIs are blocked until we return.
453  * However, if our NMI handler faults (PF, GPF, breakpoint) due to something
454  * like tracing, the iret from that fault will cancel our NMI protections.  Thus
455  * we need another layer of code to make sure we don't run the NMI handler
456  * concurrently on the same core.  See https://lwn.net/Articles/484932/ for more
457  * info.
458  *
459  * We'll get around the problem by running on yet another NMI stack.  All NMIs
460  * come in on the nmi entry stack (tss->ist1).  While we're on that stack, we
461  * will not be interrupted.  We jump to another stack to do_nmi_work.  That code
462  * can be interrupted, but we are careful to only have one 'thread' running on
463  * that stack at a time.  We do this by carefully hopping off the stack in
464  * assembly, similar to popping user TFs. */
465 void handle_nmi(struct hw_trapframe *hw_tf)
466 {
467         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
468         struct hw_trapframe *hw_tf_copy;
469         uintptr_t worker_stacktop;
470
471         /* At this point, we're an NMI and other NMIs are blocked.  Only once we
472          * hop to the bottom half could that be no longer true.  NMI with NMIs fully
473          * blocked will run without interruption.  For that reason, we don't have to
474          * be careful about any memory accesses or compiler tricks. */
475         if (pcpui->nmi_status == NMI_HANDLE_ANOTHER)
476                 return;
477         if (pcpui->nmi_status == NMI_IN_PROGRESS) {
478                 /* Force the handler to run again.  We don't need to worry about
479                  * concurrent access here.  We're running, they are not.  We cannot
480                  * 'PAUSE' since NMIs are fully blocked.
481                  *
482                  * The asm routine, for its part, does a compare-and-swap, so if we
483                  * happened to interrupt it before it wrote NMI_NORMAL_OPN, it'll
484                  * notice, abort, and not write the status. */
485                 pcpui->nmi_status = NMI_HANDLE_ANOTHER;
486                 return;
487         }
488         assert(pcpui->nmi_status == NMI_NORMAL_OPN);
489         pcpui->nmi_status = NMI_HANDLE_ANOTHER;
490         /* We could be interrupting an NMI that is trying to pop back to a normal
491          * context.  We can tell by looking at its PC.  If it is within the popping
492          * routine, then we interrupted it at this bad time.  We'll hack the TF such
493          * that it will return instead of succeeding. */
494         if (nmi_check_and_hack_tf(hw_tf))
495                 return;
496         /* OK, so we didn't interrupt an NMI that was trying to return.  So we need
497          * to run the bottom half.  We're going to jump stacks, but we also need to
498          * copy the hw_tf.  The existing one will be clobbered by any interrupting
499          * NMIs.
500          *
501          * We also need to save some space on the top of that stack for a pointer to
502          * pcpui and a scratch register, which nmi_try_to_pop() will use.  The
503          * target stack will look like this:
504          *
505          *               +--------------------------+ Page boundary (e.g. 0x6000)
506          *               |   scratch space (rsp)    |
507          *               |       pcpui pointer      |
508          *               |      tf_ss + padding     | HW_TF end
509          *               |          tf_rsp          |
510          *               |            .             |
511          *               |            .             |
512          * RSP ->        |         tf_gsbase        | HW_TF start, hw_tf_copy
513          *               +--------------------------+
514          *               |            .             |
515          *               |            .             |
516          *               |            .             |
517          *               +--------------------------+ Page boundary (e.g. 0x5000)
518          *
519          * __nmi_bottom_half() just picks up using the stack below tf_gsbase.  It'll
520          * push as needed, growing down.  Basically we're just using the space
521          * 'above' the stack as storage. */
522         worker_stacktop = pcpui->nmi_worker_stacktop - 2 * sizeof(uintptr_t);
523         *(uintptr_t*)worker_stacktop = (uintptr_t)pcpui;
524         worker_stacktop = worker_stacktop - sizeof(struct hw_trapframe);
525         hw_tf_copy = (struct hw_trapframe*)worker_stacktop;
526         *hw_tf_copy = *hw_tf;
527         /* Once we head to the bottom half, consider ourselves interruptible (though
528          * it's not until the first time we do_nmi_work()).  We'll never come back
529          * to this stack.  Doing this in asm so we can easily pass an argument.  We
530          * don't need to call (vs jmp), but it helps keep the stack aligned. */
531         asm volatile("mov $0x0, %%rbp;"
532                      "mov %0, %%rsp;"
533                      "call __nmi_bottom_half;"
534                      : : "r"(worker_stacktop), "D"(hw_tf_copy));
535         assert(0);
536 }
537
538 /* Certain traps want IRQs enabled, such as the syscall.  Others can't handle
539  * it, like the page fault handler.  Turn them on on a case-by-case basis. */
540 static void trap_dispatch(struct hw_trapframe *hw_tf)
541 {
542         struct per_cpu_info *pcpui;
543         bool handled = TRUE;
544         unsigned long aux = 0;
545         uintptr_t fixup_ip;
546
547         // Handle processor exceptions.
548         switch(hw_tf->tf_trapno) {
549                 case T_BRKPT:
550                         enable_irq();
551                         monitor(hw_tf);
552                         disable_irq();
553                         break;
554                 case T_ILLOP:
555                 {
556                         /* TODO: this can PF if there is a concurrent unmap/PM removal. */
557                         uintptr_t ip = get_hwtf_pc(hw_tf);
558                         pcpui = &per_cpu_info[core_id()];
559                         pcpui->__lock_checking_enabled--;               /* for print debugging */
560                         /* We will muck with the actual TF.  If we're dealing with
561                          * userspace, we need to make sure we edit the actual TF that will
562                          * get restarted (pcpui), and not the TF on the kstack (which aren't
563                          * the same).  See set_current_ctx() for more info. */
564                         if (!in_kernel(hw_tf))
565                                 hw_tf = &pcpui->cur_ctx->tf.hw_tf;
566                         printd("bad opcode, eip: %p, next 3 bytes: %x %x %x\n", ip,
567                                *(uint8_t*)(ip + 0),
568                                *(uint8_t*)(ip + 1),
569                                *(uint8_t*)(ip + 2));
570                         /* rdtscp: 0f 01 f9 */
571                         if (*(uint8_t*)(ip + 0) == 0x0f,
572                             *(uint8_t*)(ip + 1) == 0x01,
573                             *(uint8_t*)(ip + 2) == 0xf9) {
574                                 x86_fake_rdtscp(hw_tf);
575                                 pcpui->__lock_checking_enabled++;       /* for print debugging */
576                                 return;
577                         }
578                         enable_irq();
579                         monitor(hw_tf);
580                         disable_irq();
581                         pcpui->__lock_checking_enabled++;               /* for print debugging */
582                         break;
583                 }
584                 case T_PGFLT:
585                         handled = __handle_page_fault(hw_tf, &aux);
586                         break;
587                 case T_FPERR:
588                         handled = try_handle_exception_fixup(hw_tf);
589                         if (!handled)
590                                 handle_fperr(hw_tf);
591                         break;
592                 case T_SYSCALL:
593                         enable_irq();
594                         // check for userspace, for now
595                         assert(hw_tf->tf_cs != GD_KT);
596                         /* Set up and run the async calls */
597                         /* TODO: this is using the wrong reg1 for traps for 32 bit */
598                         prep_syscalls(current,
599                                       (struct syscall*)x86_get_systrap_arg0(hw_tf),
600                                                   (unsigned int)x86_get_systrap_arg1(hw_tf));
601                         disable_irq();
602                         break;
603                 default:
604                         if (hw_tf->tf_cs == GD_KT) {
605                                 handled = try_handle_exception_fixup(hw_tf);
606                                 if (!handled) {
607                                         print_trapframe(hw_tf);
608                                         panic("Damn Damn!  Unhandled trap in the kernel!");
609                                 }
610                         } else {
611                                 handled = FALSE;
612                         }
613         }
614
615         if (!handled)
616                 reflect_unhandled_trap(hw_tf->tf_trapno, hw_tf->tf_err, aux);
617 }
618
619 /* Helper.  For now, this copies out the TF to pcpui.  Eventually, we should
620  * consider doing this in trapentry.S
621  *
622  * TODO: consider having this return the tf used, so we can set tf in trap and
623  * irq handlers to edit the TF that will get restarted.  Right now, the kernel
624  * uses and restarts tf, but userspace restarts the old pcpui tf.  It is
625  * tempting to do this, but note that tf stays on the stack of the kthread,
626  * while pcpui->cur_ctx is for the core we trapped in on.  Meaning if we ever
627  * block, suddenly cur_ctx is pointing to some old clobbered state that was
628  * already returned to and can't be trusted.  Meanwhile tf can always be trusted
629  * (like with an in_kernel() check).  The only types of traps from the user that
630  * can be expected to have editable trapframes are ones that don't block. */
631 static void set_current_ctx_hw(struct per_cpu_info *pcpui,
632                                struct hw_trapframe *hw_tf)
633 {
634         assert(!irq_is_enabled());
635         pcpui->actual_ctx.type = ROS_HW_CTX;
636         pcpui->actual_ctx.tf.hw_tf = *hw_tf;
637         pcpui->cur_ctx = &pcpui->actual_ctx;
638 }
639
640 static void set_current_ctx_sw(struct per_cpu_info *pcpui,
641                                struct sw_trapframe *sw_tf)
642 {
643         assert(!irq_is_enabled());
644         pcpui->actual_ctx.type = ROS_SW_CTX;
645         pcpui->actual_ctx.tf.sw_tf = *sw_tf;
646         pcpui->cur_ctx = &pcpui->actual_ctx;
647 }
648
649 static void set_current_ctx_vm(struct per_cpu_info *pcpui,
650                                struct vm_trapframe *vm_tf)
651 {
652         assert(!irq_is_enabled());
653         pcpui->actual_ctx.type = ROS_VM_CTX;
654         pcpui->actual_ctx.tf.vm_tf = *vm_tf;
655         pcpui->cur_ctx = &pcpui->actual_ctx;
656 }
657
658 void trap(struct hw_trapframe *hw_tf)
659 {
660         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
661         /* Copy out the TF for now */
662         if (!in_kernel(hw_tf)) {
663                 set_current_ctx_hw(pcpui, hw_tf);
664                 /* ignoring state for nested kernel traps.  should be rare. */
665                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
666         } else {
667                 inc_ktrap_depth(pcpui);
668         }
669         printd("Incoming TRAP %d on core %d, TF at %p\n", hw_tf->tf_trapno,
670                core_id(), hw_tf);
671         if ((hw_tf->tf_cs & ~3) != GD_UT && (hw_tf->tf_cs & ~3) != GD_KT) {
672                 print_trapframe(hw_tf);
673                 panic("Trapframe with invalid CS!");
674         }
675         trap_dispatch(hw_tf);
676         /* Return to the current process, which should be runnable.  If we're the
677          * kernel, we should just return naturally.  Note that current and tf need
678          * to still be okay (might not be after blocking) */
679         if (in_kernel(hw_tf)) {
680                 dec_ktrap_depth(pcpui);
681                 return;
682         }
683         proc_restartcore();
684         assert(0);
685 }
686
687 static bool vector_is_irq(int apic_vec)
688 {
689         /* arguably, we could limit them to MaxIdtIOAPIC */
690         return (IdtPIC <= apic_vec) && (apic_vec <= IdtMAX);
691 }
692
693 static void irq_dispatch(struct hw_trapframe *hw_tf)
694 {
695         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
696         struct irq_handler *irq_h;
697
698         if (!in_irq_ctx(pcpui))
699                 __set_cpu_state(pcpui, CPU_STATE_IRQ);
700         inc_irq_depth(pcpui);
701         //if (core_id())
702         if (hw_tf->tf_trapno != IdtLAPIC_TIMER) /* timer irq */
703         if (hw_tf->tf_trapno != I_KERNEL_MSG)
704         if (hw_tf->tf_trapno != 65)     /* qemu serial tends to get this one */
705                 printd("Incoming IRQ, ISR: %d on core %d\n", hw_tf->tf_trapno,
706                        core_id());
707         /* TODO: RCU read lock */
708         irq_h = irq_handlers[hw_tf->tf_trapno];
709         if (!irq_h) {
710                 warn_once("Received IRQ %d, had no handler registered!",
711                           hw_tf->tf_trapno);
712                 /* If we don't have an IRQ handler, we don't know how to EOI.  Odds are,
713                  * it's a LAPIC IRQ, such as I_TESTING */
714                 if (!lapic_check_spurious(hw_tf->tf_trapno))
715                         lapic_send_eoi(hw_tf->tf_trapno);
716                 goto out_no_eoi;
717         }
718         if (irq_h->check_spurious(hw_tf->tf_trapno))
719                 goto out_no_eoi;
720         /* Can now be interrupted/nested by higher priority IRQs, but not by our
721          * current IRQ vector, til we EOI. */
722         enable_irq();
723         while (irq_h) {
724                 irq_h->isr(hw_tf, irq_h->data);
725                 irq_h = irq_h->next;
726         }
727         // if we're a general purpose IPI function call, down the cpu_list
728         extern handler_wrapper_t handler_wrappers[NUM_HANDLER_WRAPPERS];
729         if ((I_SMP_CALL0 <= hw_tf->tf_trapno) &&
730             (hw_tf->tf_trapno <= I_SMP_CALL_LAST))
731                 down_checklist(handler_wrappers[hw_tf->tf_trapno & 0x0f].cpu_list);
732         disable_irq();
733         /* Keep in sync with ipi_is_pending */
734         irq_handlers[hw_tf->tf_trapno]->eoi(hw_tf->tf_trapno);
735         /* Fall-through */
736 out_no_eoi:
737         dec_irq_depth(pcpui);
738         if (!in_irq_ctx(pcpui))
739                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
740 }
741
742 /* Note IRQs are disabled unless explicitly turned on.
743  *
744  * In general, we should only get trapno's >= PIC1_OFFSET (32).  Anything else
745  * should be a trap.  Even if we don't use the PIC, that should be the standard.
746  * It is possible to get a spurious LAPIC IRQ with vector 15 (or similar), but
747  * the spurious check should catch that.
748  *
749  * Note that from hardware's perspective (PIC, etc), IRQs start from 0, but they
750  * are all mapped up at PIC1_OFFSET for the cpu / irq_handler. */
751 void handle_irq(struct hw_trapframe *hw_tf)
752 {
753         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
754
755         /* Copy out the TF for now */
756         if (!in_kernel(hw_tf))
757                 set_current_ctx_hw(pcpui, hw_tf);
758         irq_dispatch(hw_tf);
759         /* Return to the current process, which should be runnable.  If we're the
760          * kernel, we should just return naturally.  Note that current and tf need
761          * to still be okay (might not be after blocking) */
762         if (in_kernel(hw_tf))
763                 return;
764         proc_restartcore();
765         assert(0);
766 }
767
768 /* The irq field may be ignored based on the type of Bus. */
769 int register_irq(int irq, isr_t handler, void *irq_arg, uint32_t tbdf)
770 {
771         struct irq_handler *irq_h;
772         int vector;
773         irq_h = kzmalloc(sizeof(struct irq_handler), 0);
774         assert(irq_h);
775         irq_h->dev_irq = irq;
776         irq_h->tbdf = tbdf;
777         vector = bus_irq_setup(irq_h);
778         if (vector == -1) {
779                 kfree(irq_h);
780                 return -1;
781         }
782         printk("IRQ %d, vector %d (0x%x), type %s\n", irq, vector, vector,
783                irq_h->type);
784         assert(irq_h->check_spurious && irq_h->eoi);
785         irq_h->isr = handler;
786         irq_h->data = irq_arg;
787         irq_h->apic_vector = vector;
788         /* RCU write lock */
789         spin_lock_irqsave(&irq_handler_wlock);
790         irq_h->next = irq_handlers[vector];
791         wmb();  /* make sure irq_h is done before publishing to readers */
792         irq_handlers[vector] = irq_h;
793         spin_unlock_irqsave(&irq_handler_wlock);
794         /* Most IRQs other than the BusIPI should need their irq unmasked.
795          * Might need to pass the irq_h, in case unmask needs more info.
796          * The lapic IRQs need to be unmasked on a per-core basis */
797         if (irq_h->unmask && strcmp(irq_h->type, "lapic"))
798                 irq_h->unmask(irq_h, vector);
799         return 0;
800 }
801
802 /* These routing functions only allow the routing of an irq to a single core.
803  * If we want to route to multiple cores, we'll probably need to set up logical
804  * groups or something and take some additional parameters. */
805 static int route_irq_h(struct irq_handler *irq_h, int os_coreid)
806 {
807         int hw_coreid;
808         if (!irq_h->route_irq) {
809                 printk("[kernel] apic_vec %d, type %s cannot be routed\n",
810                        irq_h->apic_vector, irq_h->type);
811                 return -1;
812         }
813         if (os_coreid >= MAX_NUM_CORES) {
814                 printk("[kernel] os_coreid %d out of range!\n", os_coreid);
815                 return -1;
816         }
817         hw_coreid = get_hw_coreid(os_coreid);
818         if (hw_coreid == -1) {
819                 printk("[kernel] os_coreid %d not a valid hw core!\n", os_coreid);
820                 return -1;
821         }
822         irq_h->route_irq(irq_h, irq_h->apic_vector, hw_coreid);
823         return 0;
824 }
825
826 /* Routes all irqs for a given apic_vector to os_coreid.  Returns 0 if all of
827  * them succeeded.  -1 if there were none or if any of them failed.  We don't
828  * share IRQs often (if ever anymore), so this shouldn't be an issue. */
829 int route_irqs(int apic_vec, int os_coreid)
830 {
831         struct irq_handler *irq_h;
832         int ret = -1;
833         if (!vector_is_irq(apic_vec)) {
834                 printk("[kernel] vector %d is not an IRQ vector!\n", apic_vec);
835                 return -1;
836         }
837         irq_h = irq_handlers[apic_vec];
838         while (irq_h) {
839                 assert(irq_h->apic_vector == apic_vec);
840                 ret = route_irq_h(irq_h, os_coreid);
841                 irq_h = irq_h->next;
842         }
843         return ret;
844 }
845
846 /* It's a moderate pain in the ass to put these in bit-specific files (header
847  * hell with the set_current_ helpers) */
848 void sysenter_callwrapper(struct syscall *sysc, unsigned long count,
849                           struct sw_trapframe *sw_tf)
850 {
851         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
852         set_current_ctx_sw(pcpui, sw_tf);
853         __set_cpu_state(pcpui, CPU_STATE_KERNEL);
854         /* Once we've set_current_ctx, we can enable interrupts.  This used to be
855          * mandatory (we had immediate KMSGs that would muck with cur_ctx).  Now it
856          * should only help for sanity/debugging. */
857         enable_irq();
858         /* Set up and run the async calls.  This may block, and we could migrate to
859          * another core.  If you use pcpui again, you need to reread it. */
860         prep_syscalls(current, sysc, count);
861         disable_irq();
862         proc_restartcore();
863 }
864
865 /* Declared in x86/arch.h */
866 void send_ipi(uint32_t os_coreid, uint8_t vector)
867 {
868         int hw_coreid = get_hw_coreid(os_coreid);
869         if (hw_coreid == -1) {
870                 panic("Unmapped OS coreid (OS %d)!\n", os_coreid);
871                 return;
872         }
873         assert(vector != T_NMI);
874         __send_ipi(hw_coreid, vector);
875 }
876
877 /****************** VM exit handling ******************/
878
879 static bool handle_vmexit_cpuid(struct vm_trapframe *tf)
880 {
881         uint32_t eax, ebx, ecx, edx;
882
883         /* 0x4000000 is taken from Linux; it is not documented but it signals the
884          * use of KVM. */
885         if (tf->tf_rax == 0x40000000) {
886                 /* Pretend to be KVM: Return the KVM signature by placing the following
887                  * constants in RAX, RBX, RCX and RDX. RAX is set to 0, while RBX to
888                  * RDX forms the string "KVMKVMKVMKVM\0\0\0". This can be placed in
889                  * 0x100 offsets from 0x40000000 to 0x40010000. */
890                 eax = 0;
891                 ebx = 0x4b4d564b;
892                 ecx = 0x564b4d56;
893                 edx = 0x0000004d;
894         } else {
895                 cpuid(tf->tf_rax, tf->tf_rcx, &eax, &ebx, &ecx, &edx);
896                 if (tf->tf_rax == 1) {
897                         /* Set the hypervisor bit to let the guest know it is virtualized */
898                         ecx |= 1 << 31;
899                 }
900         }
901         tf->tf_rax = eax;
902         tf->tf_rbx = ebx;
903         tf->tf_rcx = ecx;
904         tf->tf_rdx = edx;
905         tf->tf_rip += 2;
906         return TRUE;
907 }
908
909 static bool handle_vmexit_ept_fault(struct vm_trapframe *tf)
910 {
911         int prot = 0;
912         int ret;
913
914         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_READ ? PROT_READ : 0;
915         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_WRITE ? PROT_WRITE : 0;
916         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_INS ? PROT_EXEC : 0;
917         ret = handle_page_fault(current, tf->tf_guest_pa, prot);
918         if (ret) {
919                 /* TODO: maybe put ret in the TF somewhere */
920                 return FALSE;
921         }
922         return TRUE;
923 }
924
925 /* Regarding NMI blocking,
926  *              "An NMI causes subsequent NMIs to be blocked, but only after the VM exit
927  *              completes." (SDM)
928  *
929  * Like handle_nmi(), this function and anything it calls directly cannot fault,
930  * or else we lose our NMI protections. */
931 static bool handle_vmexit_nmi(struct vm_trapframe *tf)
932 {
933         /* Sanity checks, make sure we really got an NMI.  Feel free to remove. */
934         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_NMI_INTR);
935         assert((tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK) == T_NMI);
936         assert(!irq_is_enabled());
937
938         emit_monitor_backtrace(ROS_VM_CTX, tf);
939         perfmon_snapshot_vmtf(tf);
940         send_self_ipi(IdtLAPIC_PCINT);
941         return TRUE;
942 }
943
944 bool handle_vmexit_msr(struct vm_trapframe *tf)
945 {
946         bool ret;
947
948         ret = vmm_emulate_msr(&tf->tf_rcx, &tf->tf_rdx, &tf->tf_rax,
949                               (tf->tf_exit_reason == EXIT_REASON_MSR_READ
950                                                    ? VMM_MSR_EMU_READ : VMM_MSR_EMU_WRITE));
951         if (ret)
952                 tf->tf_rip += 2;
953         return ret;
954 }
955
956 bool handle_vmexit_extirq(struct vm_trapframe *tf)
957 {
958         struct hw_trapframe hw_tf;
959
960         /* For now, we just handle external IRQs.  I think guest traps should go to
961          * the guest, based on our vmctls */
962         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_EXT_INTR);
963         /* TODO: Our IRQ handlers all expect TFs.  Let's fake one.  A bunch of
964          * handlers (e.g. backtrace/perf) will probably be unhappy about a user TF
965          * that is really a VM, so this all needs work. */
966         hw_tf.tf_gsbase = 0;
967         hw_tf.tf_fsbase = 0;
968         hw_tf.tf_rax = tf->tf_rax;
969         hw_tf.tf_rbx = tf->tf_rbx;
970         hw_tf.tf_rcx = tf->tf_rcx;
971         hw_tf.tf_rdx = tf->tf_rdx;
972         hw_tf.tf_rbp = tf->tf_rbp;
973         hw_tf.tf_rsi = tf->tf_rsi;
974         hw_tf.tf_rdi = tf->tf_rdi;
975         hw_tf.tf_r8 = tf->tf_r8;
976         hw_tf.tf_r9 = tf->tf_r9;
977         hw_tf.tf_r10 = tf->tf_r10;
978         hw_tf.tf_r11 = tf->tf_r11;
979         hw_tf.tf_r12 = tf->tf_r12;
980         hw_tf.tf_r13 = tf->tf_r13;
981         hw_tf.tf_r14 = tf->tf_r14;
982         hw_tf.tf_r15 = tf->tf_r15;
983         hw_tf.tf_trapno = tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK;
984         hw_tf.tf_err = 0;
985         hw_tf.tf_rip = tf->tf_rip;
986         hw_tf.tf_cs = GD_UT;    /* faking a user TF, even though it's a VM */
987         hw_tf.tf_rflags = tf->tf_rflags;
988         hw_tf.tf_rsp = tf->tf_rsp;
989         hw_tf.tf_ss = GD_UD;
990
991         irq_dispatch(&hw_tf);
992         /* Consider returning whether or not there was a handler registered */
993         return TRUE;
994 }
995
996 static bool handle_vmexit_xsetbv(struct vm_trapframe *tf)
997 {
998         // The VM's requested-feature bitmap is represented by edx:eax
999         uint64_t vm_rfbm = (tf->tf_rdx << 32) | tf->tf_rax;
1000
1001         // If the VM tries to set xcr0 to a superset
1002         // of Akaros's default value, kill the VM.
1003
1004         // Bit in vm_rfbm and x86_default_xcr0:        Ok. Requested and allowed.
1005         // Bit in vm_rfbm but not x86_default_xcr0:    Bad! Requested, not allowed.
1006         // Bit not in vm_rfbm but in x86_default_xcr0: Ok. Not requested.
1007
1008         // vm_rfbm & (~x86_default_xcr0) is nonzero if any bits
1009         // are set in vm_rfbm but not x86_default_xcr0
1010
1011         if (vm_rfbm & (~__proc_global_info.x86_default_xcr0))
1012                 return FALSE;
1013
1014
1015         // If attempting to use vm_rfbm for xsetbv
1016         // causes a fault, we reflect to the VMM.
1017         if (safe_lxcr0(vm_rfbm))
1018                 return FALSE;
1019
1020
1021         // If no fault, advance the instruction pointer
1022         // and return TRUE to make the VM resume.
1023         tf->tf_rip += 3; // XSETBV is a 3-byte instruction
1024         return TRUE;
1025 }
1026
1027 static void vmexit_dispatch(struct vm_trapframe *tf)
1028 {
1029         bool handled = FALSE;
1030
1031         /* Do not block in any of these functions.
1032          *
1033          * If we block, we'll probably need to finalize the context.  If we do, then
1034          * there's a chance the guest pcore can start somewhere else, and then we
1035          * can't get the GPC loaded again.  Plus, they could be running a GPC with
1036          * an unresolved vmexit.  It's just mess.
1037          *
1038          * If we want to enable IRQs, we can do so on a case-by-case basis.  Don't
1039          * do it for external IRQs - the irq_dispatch code will handle it. */
1040         switch (tf->tf_exit_reason) {
1041         case EXIT_REASON_VMCALL:
1042                 if (current->vmm.flags & VMM_VMCALL_PRINTF) {
1043                         printk("%c", tf->tf_rdi);
1044                         tf->tf_rip += 3;
1045                         handled = TRUE;
1046                 }
1047                 break;
1048         case EXIT_REASON_CPUID:
1049                 handled = handle_vmexit_cpuid(tf);
1050                 break;
1051         case EXIT_REASON_EPT_VIOLATION:
1052                 handled = handle_vmexit_ept_fault(tf);
1053                 break;
1054         case EXIT_REASON_EXCEPTION_NMI:
1055                 handled = handle_vmexit_nmi(tf);
1056                 break;
1057         case EXIT_REASON_MSR_READ:
1058         case EXIT_REASON_MSR_WRITE:
1059                 handled = handle_vmexit_msr(tf);
1060                 break;
1061         case EXIT_REASON_EXTERNAL_INTERRUPT:
1062                 handled = handle_vmexit_extirq(tf);
1063                 break;
1064         case EXIT_REASON_XSETBV:
1065                 handled = handle_vmexit_xsetbv(tf);
1066                 break;
1067         default:
1068                 printd("Unhandled vmexit: reason 0x%x, exit qualification 0x%x\n",
1069                        tf->tf_exit_reason, tf->tf_exit_qual);
1070         }
1071         if (!handled) {
1072                 tf->tf_flags |= VMCTX_FL_HAS_FAULT;
1073                 if (reflect_current_context()) {
1074                         /* VM contexts shouldn't be in vcore context, so this should be
1075                          * pretty rare (unlike SCPs or VC ctx page faults). */
1076                         printk("[kernel] Unable to reflect VM Exit\n");
1077                         print_vmtrapframe(tf);
1078                         proc_destroy(current);
1079                 }
1080         }
1081 }
1082
1083 void handle_vmexit(struct vm_trapframe *tf)
1084 {
1085         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1086
1087         tf->tf_rip = vmcs_read(GUEST_RIP);
1088         tf->tf_rflags = vmcs_read(GUEST_RFLAGS);
1089         tf->tf_rsp = vmcs_read(GUEST_RSP);
1090         tf->tf_cr2 = rcr2();
1091         tf->tf_cr3 = vmcs_read(GUEST_CR3);
1092         tf->tf_guest_pcoreid = pcpui->guest_pcoreid;
1093         tf->tf_flags |= VMCTX_FL_PARTIAL;
1094         tf->tf_guest_intr_status = vmcs_read(GUEST_INTR_STATUS);
1095         tf->tf_exit_reason = vmcs_read(VM_EXIT_REASON);
1096         tf->tf_exit_qual = vmcs_read(EXIT_QUALIFICATION);
1097         tf->tf_intrinfo1 = vmcs_read(GUEST_INTERRUPTIBILITY_INFO);
1098         tf->tf_intrinfo2 = vmcs_read(VM_EXIT_INTR_INFO);
1099         tf->tf_guest_va = vmcs_read(GUEST_LINEAR_ADDRESS);
1100         tf->tf_guest_pa = vmcs_read(GUEST_PHYSICAL_ADDRESS);
1101
1102         set_current_ctx_vm(pcpui, tf);
1103         tf = &pcpui->cur_ctx->tf.vm_tf;
1104         vmexit_dispatch(tf);
1105         /* We're either restarting a partial VM ctx (vmcs was launched, loaded on
1106          * the core, etc) or a SW vc ctx for the reflected trap.  Or the proc is
1107          * dying and we'll handle a __death KMSG shortly. */
1108         proc_restartcore();
1109 }
1110
1111 /* Partial contexts for HW and SW TFs have the user's gs in MSR_KERNEL_GS_BASE.
1112  * The kernel's gs is loaded into gs.  We need to put the kernel's gs into
1113  * KERNEL_GS_BASE so the core is ready to run another full context, save the
1114  * user's {GS,FS}_BASE into their TF so it can run on another core, and keep GS
1115  * loaded with the current GS (the kernel's). */
1116 static void x86_finalize_hwtf(struct hw_trapframe *tf)
1117 {
1118         tf->tf_gsbase = read_msr(MSR_KERNEL_GS_BASE);
1119         write_msr(MSR_KERNEL_GS_BASE, read_gsbase());
1120         tf->tf_fsbase = read_fsbase();
1121         x86_hwtf_clear_partial(tf);
1122 }
1123
1124 static void x86_finalize_swtf(struct sw_trapframe *tf)
1125 {
1126         tf->tf_gsbase = read_msr(MSR_KERNEL_GS_BASE);
1127         write_msr(MSR_KERNEL_GS_BASE, read_gsbase());
1128         tf->tf_fsbase = read_fsbase();
1129         x86_swtf_clear_partial(tf);
1130 }
1131
1132 static void x86_finalize_vmtf(struct vm_trapframe *tf)
1133 {
1134         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1135
1136         x86_vmtf_clear_partial(tf);
1137         unload_guest_pcore(pcpui->cur_proc, pcpui->guest_pcoreid);
1138 }
1139
1140 /* Makes sure that the user context is fully saved into ctx and not split across
1141  * the struct and HW, meaning it is not a "partial context".
1142  *
1143  * Be careful to zero out any part of the ctx struct not in use, to avoid
1144  * leaking information from other processes. */
1145 void arch_finalize_ctx(struct user_context *ctx)
1146 {
1147         if (!arch_ctx_is_partial(ctx))
1148                 return;
1149         switch (ctx->type) {
1150         case ROS_HW_CTX:
1151                 x86_finalize_hwtf(&ctx->tf.hw_tf);
1152                 memset((uint8_t*)&ctx->tf + sizeof(struct hw_trapframe), 0,
1153                            sizeof(ctx->tf) - sizeof(struct hw_trapframe));
1154                 break;
1155         case ROS_SW_CTX:
1156                 x86_finalize_swtf(&ctx->tf.sw_tf);
1157                 memset((uint8_t*)&ctx->tf + sizeof(struct sw_trapframe), 0,
1158                            sizeof(ctx->tf) - sizeof(struct sw_trapframe));
1159                 break;
1160         case ROS_VM_CTX:
1161                 x86_finalize_vmtf(&ctx->tf.vm_tf);
1162                 memset((uint8_t*)&ctx->tf + sizeof(struct vm_trapframe), 0,
1163                            sizeof(ctx->tf) - sizeof(struct vm_trapframe));
1164                 break;
1165         }
1166 }