x86: Handle double faults
[akaros.git] / kern / arch / x86 / trap.c
1 #include <arch/mmu.h>
2 #include <arch/x86.h>
3 #include <arch/arch.h>
4 #include <arch/console.h>
5 #include <arch/apic.h>
6 #include <arch/perfmon.h>
7 #include <ros/common.h>
8 #include <smp.h>
9 #include <assert.h>
10 #include <pmap.h>
11 #include <trap.h>
12 #include <monitor.h>
13 #include <process.h>
14 #include <mm.h>
15 #include <stdio.h>
16 #include <slab.h>
17 #include <syscall.h>
18 #include <kdebug.h>
19 #include <kmalloc.h>
20 #include <ex_table.h>
21 #include <arch/mptables.h>
22 #include <ros/procinfo.h>
23
24 enum {
25         NMI_NORMAL_OPN = 0,
26         NMI_IN_PROGRESS,
27         NMI_HANDLE_ANOTHER,
28 };
29
30 taskstate_t ts;
31
32 /* Interrupt descriptor table.  64 bit needs 16 byte alignment (i think). */
33 gatedesc_t __attribute__((aligned (16))) idt[256] = { { 0 } };
34 pseudodesc_t idt_pd;
35
36 /* interrupt handler table, each element is a linked list of handlers for a
37  * given IRQ.  Modification requires holding the lock (TODO: RCU) */
38 struct irq_handler *irq_handlers[NUM_IRQS];
39 spinlock_t irq_handler_wlock = SPINLOCK_INITIALIZER_IRQSAVE;
40
41 static bool try_handle_exception_fixup(struct hw_trapframe *hw_tf)
42 {
43         if (in_kernel(hw_tf)) {
44                 uintptr_t fixup_ip = get_fixup_ip(hw_tf->tf_rip);
45
46                 if (fixup_ip != 0) {
47                         hw_tf->tf_rip = fixup_ip;
48                         return true;
49                 }
50         }
51
52         return false;
53 }
54
55 const char *x86_trapname(int trapno)
56 {
57         static const char *const excnames[] = {
58                 "Divide error",
59                 "Debug",
60                 "Non-Maskable Interrupt",
61                 "Breakpoint",
62                 "Overflow",
63                 "BOUND Range Exceeded",
64                 "Invalid Opcode",
65                 "Device Not Available",
66                 "Double Fault",
67                 "Coprocessor Segment Overrun",
68                 "Invalid TSS",
69                 "Segment Not Present",
70                 "Stack Fault",
71                 "General Protection",
72                 "Page Fault",
73                 "(unknown trap)",
74                 "x87 FPU Floating-Point Error",
75                 "Alignment Check",
76                 "Machine-Check",
77                 "SIMD Floating-Point Exception"
78         };
79
80         if (trapno < sizeof(excnames)/sizeof(excnames[0]))
81                 return excnames[trapno];
82         if (trapno == T_SYSCALL)
83                 return "System call";
84         return "(unknown trap)";
85 }
86
87 /* Set stacktop for the current core to be the stack the kernel will start on
88  * when trapping/interrupting from userspace. */
89 void set_stack_top(uintptr_t stacktop)
90 {
91         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
92         /* No need to reload the task register, this takes effect immediately */
93         x86_set_stacktop_tss(pcpui->tss, stacktop);
94         /* Also need to make sure sysenters come in correctly */
95         x86_set_sysenter_stacktop(stacktop);
96 }
97
98 /* Note the check implies we only are on a one page stack (or the first page) */
99 uintptr_t get_stack_top(void)
100 {
101         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
102         uintptr_t stacktop;
103
104         stacktop = x86_get_stacktop_tss(pcpui->tss);
105         if (stacktop != ROUNDUP(read_sp(), PGSIZE))
106                 panic("Bad stacktop: %p esp one is %p\n", stacktop,
107                       ROUNDUP(read_sp(), PGSIZE));
108         return stacktop;
109 }
110
111 /* Sends a non-maskable interrupt; the handler will print a trapframe. */
112 void send_nmi(uint32_t os_coreid)
113 {
114         /* NMI / IPI for x86 are limited to 8 bits */
115         uint8_t hw_core = (uint8_t)get_hw_coreid(os_coreid);
116         __send_nmi(hw_core);
117 }
118
119 void idt_init(void)
120 {
121         /* This table is made in trapentry$BITS.S by each macro in that file.
122          * It is layed out such that the ith entry is the ith's traphandler's
123          * (uintptr_t) trap addr, then (uint32_t) trap number. */
124         struct trapinfo { uintptr_t trapaddr; uint32_t trapnumber; }
125                __attribute__((packed));
126         extern struct trapinfo trap_tbl[];
127         extern struct trapinfo trap_tbl_end[];
128         int i, trap_tbl_size = trap_tbl_end - trap_tbl;
129         extern void ISR_default(void);
130         extern void ISR_syscall(void);
131
132         /* set all to default, to catch everything */
133         for (i = 0; i < 256; i++)
134                 SETGATE(idt[i], 0, GD_KT, &ISR_default, 0);
135
136         /* set all entries that have real trap handlers
137          * we need to stop short of the last one, since the last is the default
138          * handler with a fake interrupt number (500) that is out of bounds of
139          * the idt[] */
140         for (i = 0; i < trap_tbl_size - 1; i++)
141                 SETGATE(idt[trap_tbl[i].trapnumber], 0, GD_KT, trap_tbl[i].trapaddr, 0);
142         /* Sanity check */
143         assert((uintptr_t)ISR_syscall ==
144                ((uintptr_t)idt[T_SYSCALL].gd_off_63_32 << 32 |
145                 (uintptr_t)idt[T_SYSCALL].gd_off_31_16 << 16 |
146                 (uintptr_t)idt[T_SYSCALL].gd_off_15_0));
147         /* turn on trap-based syscall handling and other user-accessible ints
148          * DPL 3 means this can be triggered by the int instruction */
149         idt[T_SYSCALL].gd_dpl = 3;
150         idt[T_BRKPT].gd_dpl = 3;
151         /* Send NMIs to their own stack (IST1 in every core's TSS) */
152         idt[T_NMI].gd_ist = 1;
153         /* Send double faults to their own stack (IST2 in every core's TSS) */
154         idt[T_DBLFLT].gd_ist = 2;
155
156         /* The sooner we set this, the sooner we can use set/get_stack_top. */
157         per_cpu_info[0].tss = &ts;
158         per_cpu_info[0].gdt = gdt;
159
160         /* Set up our kernel stack when changing rings */
161         /* Note: we want 16 byte aligned kernel stack frames (AMD 2:8.9.3) */
162         x86_sysenter_init();
163         set_stack_top((uintptr_t)bootstacktop);
164
165 #ifdef CONFIG_KTHREAD_POISON
166         *kstack_bottom_addr((uintptr_t)bootstacktop) = 0xdeadbeef;
167 #endif /* CONFIG_KTHREAD_POISON */
168
169         /* Initialize the TSS field of the gdt.  The size of the TSS desc differs
170          * between 64 and 32 bit, hence the pointer acrobatics */
171         syssegdesc_t *ts_slot = (syssegdesc_t*)&gdt[GD_TSS >> 3];
172         *ts_slot = (syssegdesc_t)SEG_SYS_SMALL(STS_T32A, (uintptr_t)&ts,
173                                                sizeof(taskstate_t), 0);
174
175         /* Init the IDT PD.  Need to do this before ltr for some reason.  (Doing
176          * this between ltr and lidt causes the machine to reboot... */
177         idt_pd.pd_lim = sizeof(idt) - 1;
178         idt_pd.pd_base = (uintptr_t)idt;
179
180         ltr(GD_TSS);
181
182         asm volatile("lidt %0" : : "m"(idt_pd));
183
184         pic_remap();
185         pic_mask_all();
186
187         int ncleft = MAX_NUM_CORES;
188         int num_cores_mpacpi;
189
190         ncleft = mpsinit(ncleft);
191         ncleft = mpacpi(ncleft);
192         num_cores_mpacpi = MAX_NUM_CORES - ncleft;
193         printk("MP and ACPI found %d cores\n", num_cores_mpacpi);
194         if (num_cores != num_cores_mpacpi)
195                 warn("Topology (%d) and MP/ACPI (%d) differ on num_cores!", num_cores,
196                      num_cores_mpacpi);
197
198         apiconline();
199         ioapiconline();
200
201         /* the lapic IRQs need to be unmasked on a per-core basis */
202         register_irq(IdtLAPIC_TIMER, timer_interrupt, NULL,
203                      MKBUS(BusLAPIC, 0, 0, 0));
204         register_irq(IdtLAPIC_ERROR, handle_lapic_error, NULL,
205                      MKBUS(BusLAPIC, 0, 0, 0));
206         register_irq(IdtLAPIC_PCINT, perfmon_interrupt, NULL,
207                      MKBUS(BusLAPIC, 0, 0, 0));
208         register_irq(I_KERNEL_MSG, handle_kmsg_ipi, NULL, MKBUS(BusIPI, 0, 0, 0));
209 }
210
211 static void print_fperr(struct hw_trapframe *hw_tf)
212 {
213         uint16_t fpcw, fpsw;
214         uint32_t mxcsr;
215         asm volatile ("fnstcw %0" : "=m"(fpcw));
216         asm volatile ("fnstsw %0" : "=m"(fpsw));
217         asm volatile ("stmxcsr %0" : "=m"(mxcsr));
218         print_trapframe(hw_tf);
219         printk("Core %d: FP ERR, CW: 0x%04x, SW: 0x%04x, MXCSR 0x%08x\n", core_id(),
220                fpcw, fpsw, mxcsr);
221         printk("Core %d: The following faults are unmasked:\n", core_id());
222         if (fpsw & ~fpcw & FP_EXCP_IE) {
223                 printk("\tInvalid Operation: ");
224                 if (fpsw & FP_SW_SF) {
225                         if (fpsw & FP_SW_C1)
226                                 printk("Stack overflow\n");
227                         else
228                                 printk("Stack underflow\n");
229                 } else {
230                         printk("invalid arithmetic operand\n");
231                 }
232         }
233         if (fpsw & ~fpcw & FP_EXCP_DE)
234                 printk("\tDenormalized operand\n");
235         if (fpsw & ~fpcw & FP_EXCP_ZE)
236                 printk("\tDivide by zero\n");
237         if (fpsw & ~fpcw & FP_EXCP_OE)
238                 printk("\tNumeric Overflow\n");
239         if (fpsw & ~fpcw & FP_EXCP_UE)
240                 printk("\tNumeric Underflow\n");
241         if (fpsw & ~fpcw & FP_EXCP_PE)
242                 printk("\tInexact result (precision)\n");
243 }
244
245 static bool __handler_user_page_fault(struct hw_trapframe *hw_tf,
246                                       uintptr_t fault_va, int prot)
247 {
248         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
249         int err;
250
251         assert(pcpui->owning_proc == pcpui->cur_proc);
252         enable_irq();
253         err = handle_page_fault(pcpui->owning_proc, fault_va, prot);
254         disable_irq();
255         if (err) {
256                 if (err == -EAGAIN)
257                         hw_tf->tf_err |= PF_VMR_BACKED;
258                 return FALSE;
259         }
260         return TRUE;
261 }
262
263 static bool __handler_kernel_page_fault(struct hw_trapframe *hw_tf,
264                                         uintptr_t fault_va, int prot)
265 {
266         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
267         int err;
268
269         /* The only thing an NMI handler that faults can do is a fixup */
270         if (pcpui->nmi_status != NMI_NORMAL_OPN) {
271                 assert(in_kernel(hw_tf));
272                 return try_handle_exception_fixup(hw_tf);
273         }
274         /* In general, if there's no cur_proc, a KPF is a bug. */
275         if (!pcpui->cur_proc) {
276                 /* This only runs from test_uaccess(), where it is expected to fail. */
277                 if (try_handle_exception_fixup(hw_tf))
278                         return TRUE;
279                 print_trapframe(hw_tf);
280                 backtrace_hwtf(hw_tf);
281                 panic("Proc-less Page Fault in the Kernel at %p!", fault_va);
282         }
283         /* TODO - handle kernel page faults.  This is dangerous, since we might be
284          * holding locks in the kernel and could deadlock when we HPF.  For now, I'm
285          * just disabling the lock checker, since it'll flip out when it sees there
286          * is a kernel trap.  Will need to think about this a bit, esp when we
287          * properly handle bad addrs and whatnot. */
288         pcpui->__lock_checking_enabled--;
289         /* It is a bug for the kernel to access user memory while holding locks that
290          * are used by handle_page_fault.  At a minimum, this includes p->vmr_lock
291          * and memory allocation locks.
292          *
293          * In an effort to reduce the number of locks (both now and in the future),
294          * the kernel will not attempt to handle faults on file-back VMRs.  We
295          * probably can turn that on in the future, but I'd rather keep things safe
296          * for now.  (We'll probably need to change this when we stop
297          * MAP_POPULATE | MAP_LOCKED entire binaries).
298          *
299          * Note that we do not enable IRQs here, unlike in the user case.  Again,
300          * this is to limit the locks we could be grabbing. */
301         err = handle_page_fault_nofile(pcpui->cur_proc, fault_va, prot);
302         pcpui->__lock_checking_enabled++;
303         if (err) {
304                 if (try_handle_exception_fixup(hw_tf))
305                         return TRUE;
306                 print_trapframe(hw_tf);
307                 backtrace_hwtf(hw_tf);
308                 /* Turn this on to help debug bad function pointers */
309                 printd("rsp %p\n\t 0(rsp): %p\n\t 8(rsp): %p\n\t 16(rsp): %p\n"
310                        "\t24(rsp): %p\n", hw_tf->tf_rsp,
311                        *(uintptr_t*)(hw_tf->tf_rsp +  0),
312                        *(uintptr_t*)(hw_tf->tf_rsp +  8),
313                        *(uintptr_t*)(hw_tf->tf_rsp + 16),
314                        *(uintptr_t*)(hw_tf->tf_rsp + 24));
315                 panic("Proc-ful Page Fault in the Kernel at %p!", fault_va);
316                 /* if we want to do something like kill a process or other code, be
317                  * aware we are in a sort of irq-like context, meaning the main
318                  * kernel code we 'interrupted' could be holding locks - even
319                  * irqsave locks. */
320         }
321         return TRUE;
322 }
323
324 static bool __handle_page_fault(struct hw_trapframe *hw_tf, unsigned long *aux)
325 {
326         uintptr_t fault_va = rcr2();
327         int prot = hw_tf->tf_err & PF_ERROR_WRITE ? PROT_WRITE : PROT_READ;
328
329         *aux = fault_va;
330         if (in_kernel(hw_tf))
331                 return __handler_kernel_page_fault(hw_tf, fault_va, prot);
332         else
333                 return __handler_user_page_fault(hw_tf, fault_va, prot);
334 }
335
336 /* Actual body of work done when an NMI arrives */
337 static void do_nmi_work(struct hw_trapframe *hw_tf)
338 {
339         assert(!irq_is_enabled());
340         /* It's mostly harmless to snapshot the TF, and we can send a spurious PCINT
341          * interrupt.  perfmon.c just uses the interrupt to tell it to check its
342          * counters for overflow.  Note that the PCINT interrupt is just a regular
343          * IRQ.  The backtrace was recorded during the NMI and emitted during IRQ.
344          *
345          * That being said, it's OK if the monitor triggers debugging NMIs while
346          * perf is running.  If perf triggers an NMI when the monitor wants to
347          * print, the monitor will debug *that* NMI, and not the one that gets sent
348          * moments later.  That's fine. */
349         emit_monitor_backtrace(ROS_HW_CTX, hw_tf);
350         perfmon_snapshot_hwtf(hw_tf);
351         send_self_ipi(IdtLAPIC_PCINT);
352 }
353
354 /* NMI HW_TF hacking involves four symbols:
355  *
356  * [__nmi_pop_ok_start, __nmi_pop_ok_end) mark the beginning and end of the
357  * code for an nmi popping routine that will actually pop at the end.
358  *
359  * [__nmi_pop_fail_start, __nmi_pop_fail_end) mark the beginning and end of the
360  * shadow code for an nmi popping routine that will fail at the end.
361  *
362  * If we see a TF in the OK section, we'll move it to the FAIL section.  If it's
363  * already in the FAIL section, we'll report that as a success. */
364 extern char __nmi_pop_ok_start[], __nmi_pop_ok_end[];
365 extern char __nmi_pop_fail_start[], __nmi_pop_fail_end[];
366
367 static bool nmi_hw_tf_needs_hacked(struct hw_trapframe *hw_tf)
368 {
369         return ((uintptr_t)__nmi_pop_ok_start <= hw_tf->tf_rip) &&
370                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_ok_end);
371 }
372
373 static bool nmi_hw_tf_was_hacked(struct hw_trapframe *hw_tf)
374 {
375         return ((uintptr_t)__nmi_pop_fail_start <= hw_tf->tf_rip) &&
376                (hw_tf->tf_rip < (uintptr_t)__nmi_pop_fail_end);
377 }
378
379 /* Helper.  Hacks the TF if it was in the OK section so that it is at the same
380  * spot in the FAIL section.  Returns TRUE if the TF is hacked, meaning the NMI
381  * handler can just return. */
382 static bool nmi_check_and_hack_tf(struct hw_trapframe *hw_tf)
383 {
384         uintptr_t offset;
385
386         if (!nmi_hw_tf_needs_hacked(hw_tf))
387                 return FALSE;
388         if (nmi_hw_tf_was_hacked(hw_tf))
389                 return TRUE;
390         offset = hw_tf->tf_rip - (uintptr_t)__nmi_pop_ok_start;
391         hw_tf->tf_rip = (uintptr_t)__nmi_pop_fail_start + offset;
392         return TRUE;
393 }
394
395 /* Bottom half of the NMI handler.  This can be interrupted under some
396  * circumstances by NMIs.  It exits by popping the hw_tf in assembly. */
397 void __attribute__((noinline, noreturn))
398 __nmi_bottom_half(struct hw_trapframe *hw_tf)
399 {
400         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
401
402         while (1) {
403                 /* Signal that we're doing work.  A concurrent NMI will set this to
404                  * NMI_HANDLE_ANOTHER if we should continue, which we'll catch later. */
405                 pcpui->nmi_status = NMI_IN_PROGRESS;
406                 do_nmi_work(hw_tf);
407                 /* We need to check nmi_status to see if it is NMI_HANDLE_ANOTHER (if
408                  * so, run again), write NMI_NORMAL_OPN, leave this stack, and return to
409                  * the original context.  We need to do that in such a manner that an
410                  * NMI can come in at any time.  There are two concerns.
411                  *
412                  * First, we need to not "miss the signal" telling us to re-run the NMI
413                  * handler.  To do that, we'll do the actual checking in asm.  Being in
414                  * the asm code block is a signal to the real NMI handler that we need
415                  * to abort and do_nmi_work() again.
416                  *
417                  * Second, we need to atomically leave the stack and return.  By being
418                  * in asm, the NMI handler knows to just hack our PC to make us return,
419                  * instead of starting up a fresh __nmi_bottom_half().
420                  *
421                  * The NMI handler works together with the following function such that
422                  * if that race occurs while we're in the function, it'll fail and
423                  * return.  Then we'll just do_nmi_work() and try again. */
424                 extern void nmi_try_to_pop(struct hw_trapframe *tf, int *status,
425                                            int old_val, int new_val);
426
427                 nmi_try_to_pop(hw_tf, &pcpui->nmi_status, NMI_IN_PROGRESS,
428                                NMI_NORMAL_OPN);
429                 /* Either we returned on our own, since we lost a race with nmi_status
430                  * and didn't write (status = ANOTHER), or we won the race, but an NMI
431                  * handler set the status to ANOTHER and restarted us. */
432                 assert(pcpui->nmi_status != NMI_NORMAL_OPN);
433         }
434 }
435
436 /* Separate handler from traps, since there's too many rules for NMI ctx.
437  *
438  * The general rule is that any writes from NMI context must be very careful.
439  * When talking about reads and writes to per-core data:
440  * - If NMIs write things written by normal kernel contexts, including IRQs and
441  *   traps with IRQs disabled, then you must use atomics on both sides.
442  * - If NMIs write things read by normal contexts, then readers must be careful,
443  *   since the data can change at will.
444  * - If NMIs read things written by normal contexts, don't worry: you're running
445  *   uninterrupted (given x86 NMI caveats).
446  * - We cannot block.  The current kthread thinks its stacktop is different than
447  *   the one we're on.  Just get in and get out.
448  * - If we interrupted a user TF, then we don't need to worry any more than for
449  *   normal traps/IRQs.
450  * - However, we cannot call proc_restartcore.  That could trigger all sorts of
451  *   things, like kthreads blocking.
452  * - Parallel accesses (from other cores) are the same as always.  You just
453  *   can't lock easily.
454  *
455  * Normally, once you're in NMI, other NMIs are blocked until we return.
456  * However, if our NMI handler faults (PF, GPF, breakpoint) due to something
457  * like tracing, the iret from that fault will cancel our NMI protections.  Thus
458  * we need another layer of code to make sure we don't run the NMI handler
459  * concurrently on the same core.  See https://lwn.net/Articles/484932/ for more
460  * info.
461  *
462  * We'll get around the problem by running on yet another NMI stack.  All NMIs
463  * come in on the nmi entry stack (tss->ist1).  While we're on that stack, we
464  * will not be interrupted.  We jump to another stack to do_nmi_work.  That code
465  * can be interrupted, but we are careful to only have one 'thread' running on
466  * that stack at a time.  We do this by carefully hopping off the stack in
467  * assembly, similar to popping user TFs. */
468 void handle_nmi(struct hw_trapframe *hw_tf)
469 {
470         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
471         struct hw_trapframe *hw_tf_copy;
472         uintptr_t worker_stacktop;
473
474         /* At this point, we're an NMI and other NMIs are blocked.  Only once we
475          * hop to the bottom half could that be no longer true.  NMI with NMIs fully
476          * blocked will run without interruption.  For that reason, we don't have to
477          * be careful about any memory accesses or compiler tricks. */
478         if (pcpui->nmi_status == NMI_HANDLE_ANOTHER)
479                 return;
480         if (pcpui->nmi_status == NMI_IN_PROGRESS) {
481                 /* Force the handler to run again.  We don't need to worry about
482                  * concurrent access here.  We're running, they are not.  We cannot
483                  * 'PAUSE' since NMIs are fully blocked.
484                  *
485                  * The asm routine, for its part, does a compare-and-swap, so if we
486                  * happened to interrupt it before it wrote NMI_NORMAL_OPN, it'll
487                  * notice, abort, and not write the status. */
488                 pcpui->nmi_status = NMI_HANDLE_ANOTHER;
489                 return;
490         }
491         assert(pcpui->nmi_status == NMI_NORMAL_OPN);
492         pcpui->nmi_status = NMI_HANDLE_ANOTHER;
493         /* We could be interrupting an NMI that is trying to pop back to a normal
494          * context.  We can tell by looking at its PC.  If it is within the popping
495          * routine, then we interrupted it at this bad time.  We'll hack the TF such
496          * that it will return instead of succeeding. */
497         if (nmi_check_and_hack_tf(hw_tf))
498                 return;
499         /* OK, so we didn't interrupt an NMI that was trying to return.  So we need
500          * to run the bottom half.  We're going to jump stacks, but we also need to
501          * copy the hw_tf.  The existing one will be clobbered by any interrupting
502          * NMIs.
503          *
504          * We also need to save some space on the top of that stack for a pointer to
505          * pcpui and a scratch register, which nmi_try_to_pop() will use.  The
506          * target stack will look like this:
507          *
508          *               +--------------------------+ Page boundary (e.g. 0x6000)
509          *               |   scratch space (rsp)    |
510          *               |       pcpui pointer      |
511          *               |      tf_ss + padding     | HW_TF end
512          *               |          tf_rsp          |
513          *               |            .             |
514          *               |            .             |
515          * RSP ->        |         tf_gsbase        | HW_TF start, hw_tf_copy
516          *               +--------------------------+
517          *               |            .             |
518          *               |            .             |
519          *               |            .             |
520          *               +--------------------------+ Page boundary (e.g. 0x5000)
521          *
522          * __nmi_bottom_half() just picks up using the stack below tf_gsbase.  It'll
523          * push as needed, growing down.  Basically we're just using the space
524          * 'above' the stack as storage. */
525         worker_stacktop = pcpui->nmi_worker_stacktop - 2 * sizeof(uintptr_t);
526         *(uintptr_t*)worker_stacktop = (uintptr_t)pcpui;
527         worker_stacktop = worker_stacktop - sizeof(struct hw_trapframe);
528         hw_tf_copy = (struct hw_trapframe*)worker_stacktop;
529         *hw_tf_copy = *hw_tf;
530         /* Once we head to the bottom half, consider ourselves interruptible (though
531          * it's not until the first time we do_nmi_work()).  We'll never come back
532          * to this stack.  Doing this in asm so we can easily pass an argument.  We
533          * don't need to call (vs jmp), but it helps keep the stack aligned. */
534         asm volatile("mov $0x0, %%rbp;"
535                      "mov %0, %%rsp;"
536                      "call __nmi_bottom_half;"
537                      : : "r"(worker_stacktop), "D"(hw_tf_copy));
538         assert(0);
539 }
540
541 void handle_double_fault(struct hw_trapframe *hw_tf)
542 {
543         print_trapframe(hw_tf);
544         backtrace_hwtf(hw_tf);
545         panic("Double fault!  Check the kernel stack pointer; you likely ran off the end of the stack.");
546 }
547
548 /* Certain traps want IRQs enabled, such as the syscall.  Others can't handle
549  * it, like the page fault handler.  Turn them on on a case-by-case basis. */
550 static void trap_dispatch(struct hw_trapframe *hw_tf)
551 {
552         struct per_cpu_info *pcpui;
553         bool handled = FALSE;
554         unsigned long aux = 0;
555         uintptr_t fixup_ip;
556
557         // Handle processor exceptions.
558         switch(hw_tf->tf_trapno) {
559                 case T_BRKPT:
560                         enable_irq();
561                         monitor(hw_tf);
562                         disable_irq();
563                         handled = TRUE;
564                         break;
565                 case T_ILLOP:
566                 {
567                         /* TODO: this can PF if there is a concurrent unmap/PM removal. */
568                         uintptr_t ip = get_hwtf_pc(hw_tf);
569                         pcpui = &per_cpu_info[core_id()];
570                         pcpui->__lock_checking_enabled--;               /* for print debugging */
571                         /* We will muck with the actual TF.  If we're dealing with
572                          * userspace, we need to make sure we edit the actual TF that will
573                          * get restarted (pcpui), and not the TF on the kstack (which aren't
574                          * the same).  See set_current_ctx() for more info. */
575                         if (!in_kernel(hw_tf))
576                                 hw_tf = &pcpui->cur_ctx->tf.hw_tf;
577                         printd("bad opcode, eip: %p, next 3 bytes: %x %x %x\n", ip,
578                                *(uint8_t*)(ip + 0),
579                                *(uint8_t*)(ip + 1),
580                                *(uint8_t*)(ip + 2));
581                         /* rdtscp: 0f 01 f9 */
582                         if (*(uint8_t*)(ip + 0) == 0x0f,
583                             *(uint8_t*)(ip + 1) == 0x01,
584                             *(uint8_t*)(ip + 2) == 0xf9) {
585                                 x86_fake_rdtscp(hw_tf);
586                                 pcpui->__lock_checking_enabled++;       /* for print debugging */
587                                 handled = TRUE;
588                                 break;
589                         }
590                         enable_irq();
591                         monitor(hw_tf);
592                         disable_irq();
593                         pcpui->__lock_checking_enabled++;               /* for print debugging */
594                         break;
595                 }
596                 case T_PGFLT:
597                         handled = __handle_page_fault(hw_tf, &aux);
598                         break;
599                 case T_GPFLT:
600                 case T_FPERR:
601                         handled = try_handle_exception_fixup(hw_tf);
602                         break;
603                 case T_SYSCALL:
604                         enable_irq();
605                         // check for userspace, for now
606                         assert(hw_tf->tf_cs != GD_KT);
607                         /* Set up and run the async calls */
608                         /* TODO: this is using the wrong reg1 for traps for 32 bit */
609                         prep_syscalls(current,
610                                       (struct syscall*)x86_get_systrap_arg0(hw_tf),
611                                                   (unsigned int)x86_get_systrap_arg1(hw_tf));
612                         disable_irq();
613                         handled = TRUE;
614                         break;
615         }
616
617         if (!handled) {
618                 if (in_kernel(hw_tf)) {
619                         print_trapframe(hw_tf);
620                         panic("Damn Damn!  Unhandled trap in the kernel!");
621                 }
622                 reflect_unhandled_trap(hw_tf->tf_trapno, hw_tf->tf_err, aux);
623         }
624 }
625
626 /* Helper.  For now, this copies out the TF to pcpui.  Eventually, we should
627  * consider doing this in trapentry.S
628  *
629  * TODO: consider having this return the tf used, so we can set tf in trap and
630  * irq handlers to edit the TF that will get restarted.  Right now, the kernel
631  * uses and restarts tf, but userspace restarts the old pcpui tf.  It is
632  * tempting to do this, but note that tf stays on the stack of the kthread,
633  * while pcpui->cur_ctx is for the core we trapped in on.  Meaning if we ever
634  * block, suddenly cur_ctx is pointing to some old clobbered state that was
635  * already returned to and can't be trusted.  Meanwhile tf can always be trusted
636  * (like with an in_kernel() check).  The only types of traps from the user that
637  * can be expected to have editable trapframes are ones that don't block. */
638 static void set_current_ctx_hw(struct per_cpu_info *pcpui,
639                                struct hw_trapframe *hw_tf)
640 {
641         assert(!irq_is_enabled());
642         pcpui->actual_ctx.type = ROS_HW_CTX;
643         pcpui->actual_ctx.tf.hw_tf = *hw_tf;
644         pcpui->cur_ctx = &pcpui->actual_ctx;
645 }
646
647 static void set_current_ctx_sw(struct per_cpu_info *pcpui,
648                                struct sw_trapframe *sw_tf)
649 {
650         assert(!irq_is_enabled());
651         pcpui->actual_ctx.type = ROS_SW_CTX;
652         pcpui->actual_ctx.tf.sw_tf = *sw_tf;
653         pcpui->cur_ctx = &pcpui->actual_ctx;
654 }
655
656 static void set_current_ctx_vm(struct per_cpu_info *pcpui,
657                                struct vm_trapframe *vm_tf)
658 {
659         assert(!irq_is_enabled());
660         pcpui->actual_ctx.type = ROS_VM_CTX;
661         pcpui->actual_ctx.tf.vm_tf = *vm_tf;
662         pcpui->cur_ctx = &pcpui->actual_ctx;
663 }
664
665 void trap(struct hw_trapframe *hw_tf)
666 {
667         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
668         /* Copy out the TF for now */
669         if (!in_kernel(hw_tf)) {
670                 set_current_ctx_hw(pcpui, hw_tf);
671                 /* ignoring state for nested kernel traps.  should be rare. */
672                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
673         } else {
674                 inc_ktrap_depth(pcpui);
675         }
676         printd("Incoming TRAP %d on core %d, TF at %p\n", hw_tf->tf_trapno,
677                core_id(), hw_tf);
678         if ((hw_tf->tf_cs & ~3) != GD_UT && (hw_tf->tf_cs & ~3) != GD_KT) {
679                 print_trapframe(hw_tf);
680                 panic("Trapframe with invalid CS!");
681         }
682         trap_dispatch(hw_tf);
683         /* Return to the current process, which should be runnable.  If we're the
684          * kernel, we should just return naturally.  Note that current and tf need
685          * to still be okay (might not be after blocking) */
686         if (in_kernel(hw_tf)) {
687                 dec_ktrap_depth(pcpui);
688                 return;
689         }
690         proc_restartcore();
691         assert(0);
692 }
693
694 static bool vector_is_irq(int apic_vec)
695 {
696         /* arguably, we could limit them to MaxIdtIOAPIC */
697         return (IdtPIC <= apic_vec) && (apic_vec <= IdtMAX);
698 }
699
700 static void irq_dispatch(struct hw_trapframe *hw_tf)
701 {
702         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
703         struct irq_handler *irq_h;
704
705         if (!in_irq_ctx(pcpui))
706                 __set_cpu_state(pcpui, CPU_STATE_IRQ);
707         inc_irq_depth(pcpui);
708         //if (core_id())
709         if (hw_tf->tf_trapno != IdtLAPIC_TIMER) /* timer irq */
710         if (hw_tf->tf_trapno != I_KERNEL_MSG)
711         if (hw_tf->tf_trapno != 65)     /* qemu serial tends to get this one */
712                 printd("Incoming IRQ, ISR: %d on core %d\n", hw_tf->tf_trapno,
713                        core_id());
714         /* TODO: RCU read lock */
715         irq_h = irq_handlers[hw_tf->tf_trapno];
716         if (!irq_h) {
717                 warn_once("Received IRQ %d, had no handler registered!",
718                           hw_tf->tf_trapno);
719                 /* If we don't have an IRQ handler, we don't know how to EOI.  Odds are,
720                  * it's a LAPIC IRQ, such as I_TESTING */
721                 if (!lapic_check_spurious(hw_tf->tf_trapno))
722                         lapic_send_eoi(hw_tf->tf_trapno);
723                 goto out_no_eoi;
724         }
725         if (irq_h->check_spurious(hw_tf->tf_trapno))
726                 goto out_no_eoi;
727         /* Can now be interrupted/nested by higher priority IRQs, but not by our
728          * current IRQ vector, til we EOI. */
729         enable_irq();
730         while (irq_h) {
731                 irq_h->isr(hw_tf, irq_h->data);
732                 irq_h = irq_h->next;
733         }
734         // if we're a general purpose IPI function call, down the cpu_list
735         extern handler_wrapper_t handler_wrappers[NUM_HANDLER_WRAPPERS];
736         if ((I_SMP_CALL0 <= hw_tf->tf_trapno) &&
737             (hw_tf->tf_trapno <= I_SMP_CALL_LAST))
738                 down_checklist(handler_wrappers[hw_tf->tf_trapno & 0x0f].cpu_list);
739         disable_irq();
740         /* Keep in sync with ipi_is_pending */
741         irq_handlers[hw_tf->tf_trapno]->eoi(hw_tf->tf_trapno);
742         /* Fall-through */
743 out_no_eoi:
744         dec_irq_depth(pcpui);
745         if (!in_irq_ctx(pcpui))
746                 __set_cpu_state(pcpui, CPU_STATE_KERNEL);
747 }
748
749 /* Note IRQs are disabled unless explicitly turned on.
750  *
751  * In general, we should only get trapno's >= PIC1_OFFSET (32).  Anything else
752  * should be a trap.  Even if we don't use the PIC, that should be the standard.
753  * It is possible to get a spurious LAPIC IRQ with vector 15 (or similar), but
754  * the spurious check should catch that.
755  *
756  * Note that from hardware's perspective (PIC, etc), IRQs start from 0, but they
757  * are all mapped up at PIC1_OFFSET for the cpu / irq_handler. */
758 void handle_irq(struct hw_trapframe *hw_tf)
759 {
760         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
761
762         /* Copy out the TF for now */
763         if (!in_kernel(hw_tf))
764                 set_current_ctx_hw(pcpui, hw_tf);
765         irq_dispatch(hw_tf);
766         /* Return to the current process, which should be runnable.  If we're the
767          * kernel, we should just return naturally.  Note that current and tf need
768          * to still be okay (might not be after blocking) */
769         if (in_kernel(hw_tf))
770                 return;
771         proc_restartcore();
772         assert(0);
773 }
774
775 /* The irq field may be ignored based on the type of Bus. */
776 int register_irq(int irq, isr_t handler, void *irq_arg, uint32_t tbdf)
777 {
778         struct irq_handler *irq_h;
779         int vector;
780         irq_h = kzmalloc(sizeof(struct irq_handler), 0);
781         assert(irq_h);
782         irq_h->dev_irq = irq;
783         irq_h->tbdf = tbdf;
784         vector = bus_irq_setup(irq_h);
785         if (vector == -1) {
786                 kfree(irq_h);
787                 return -1;
788         }
789         printk("IRQ %d, vector %d (0x%x), type %s\n", irq, vector, vector,
790                irq_h->type);
791         assert(irq_h->check_spurious && irq_h->eoi);
792         irq_h->isr = handler;
793         irq_h->data = irq_arg;
794         irq_h->apic_vector = vector;
795         /* RCU write lock */
796         spin_lock_irqsave(&irq_handler_wlock);
797         irq_h->next = irq_handlers[vector];
798         wmb();  /* make sure irq_h is done before publishing to readers */
799         irq_handlers[vector] = irq_h;
800         spin_unlock_irqsave(&irq_handler_wlock);
801         /* Most IRQs other than the BusIPI should need their irq unmasked.
802          * Might need to pass the irq_h, in case unmask needs more info.
803          * The lapic IRQs need to be unmasked on a per-core basis */
804         if (irq_h->unmask && strcmp(irq_h->type, "lapic"))
805                 irq_h->unmask(irq_h, vector);
806         return 0;
807 }
808
809 /* These routing functions only allow the routing of an irq to a single core.
810  * If we want to route to multiple cores, we'll probably need to set up logical
811  * groups or something and take some additional parameters. */
812 static int route_irq_h(struct irq_handler *irq_h, int os_coreid)
813 {
814         int hw_coreid;
815         if (!irq_h->route_irq) {
816                 printk("[kernel] apic_vec %d, type %s cannot be routed\n",
817                        irq_h->apic_vector, irq_h->type);
818                 return -1;
819         }
820         if (os_coreid >= MAX_NUM_CORES) {
821                 printk("[kernel] os_coreid %d out of range!\n", os_coreid);
822                 return -1;
823         }
824         hw_coreid = get_hw_coreid(os_coreid);
825         if (hw_coreid == -1) {
826                 printk("[kernel] os_coreid %d not a valid hw core!\n", os_coreid);
827                 return -1;
828         }
829         irq_h->route_irq(irq_h, irq_h->apic_vector, hw_coreid);
830         return 0;
831 }
832
833 /* Routes all irqs for a given apic_vector to os_coreid.  Returns 0 if all of
834  * them succeeded.  -1 if there were none or if any of them failed.  We don't
835  * share IRQs often (if ever anymore), so this shouldn't be an issue. */
836 int route_irqs(int apic_vec, int os_coreid)
837 {
838         struct irq_handler *irq_h;
839         int ret = -1;
840         if (!vector_is_irq(apic_vec)) {
841                 printk("[kernel] vector %d is not an IRQ vector!\n", apic_vec);
842                 return -1;
843         }
844         irq_h = irq_handlers[apic_vec];
845         while (irq_h) {
846                 assert(irq_h->apic_vector == apic_vec);
847                 ret = route_irq_h(irq_h, os_coreid);
848                 irq_h = irq_h->next;
849         }
850         return ret;
851 }
852
853 /* It's a moderate pain in the ass to put these in bit-specific files (header
854  * hell with the set_current_ helpers) */
855 void sysenter_callwrapper(struct syscall *sysc, unsigned long count,
856                           struct sw_trapframe *sw_tf)
857 {
858         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
859         set_current_ctx_sw(pcpui, sw_tf);
860         __set_cpu_state(pcpui, CPU_STATE_KERNEL);
861         /* Once we've set_current_ctx, we can enable interrupts.  This used to be
862          * mandatory (we had immediate KMSGs that would muck with cur_ctx).  Now it
863          * should only help for sanity/debugging. */
864         enable_irq();
865         /* Set up and run the async calls.  This may block, and we could migrate to
866          * another core.  If you use pcpui again, you need to reread it. */
867         prep_syscalls(current, sysc, count);
868         disable_irq();
869         proc_restartcore();
870 }
871
872 /* Declared in x86/arch.h */
873 void send_ipi(uint32_t os_coreid, uint8_t vector)
874 {
875         int hw_coreid = get_hw_coreid(os_coreid);
876         if (hw_coreid == -1) {
877                 panic("Unmapped OS coreid (OS %d)!\n", os_coreid);
878                 return;
879         }
880         assert(vector != T_NMI);
881         __send_ipi(hw_coreid, vector);
882 }
883
884 /****************** VM exit handling ******************/
885
886 static bool handle_vmexit_cpuid(struct vm_trapframe *tf)
887 {
888         uint32_t eax, ebx, ecx, edx;
889
890         cpuid(tf->tf_rax, tf->tf_rcx, &eax, &ebx, &ecx, &edx);
891         switch (tf->tf_rax) {
892                 case 0x01:
893                         /* Set the hypervisor bit to let the guest know it is virtualized */
894                         ecx |= 1 << 31;
895                         /* Unset the vmx capability bit so that the guest does not try
896                          * to turn it on. */
897                         ecx &= ~(1 << 5);
898                         /* Unset the perf capability bit so that the guest does not try
899                          * to turn it on. */
900                         ecx &= ~(1 << 15);
901                         break;
902                 case 0x0A:
903                         eax = 0;
904                         ebx = 0;
905                         ecx = 0;
906                         edx = 0;
907                         break;
908                 /* Signal the use of KVM. */
909                 case 0x40000000:
910                         eax = 0;
911                         ebx = 0x4b4d564b;
912                         ecx = 0x564b4d56;
913                         edx = 0x0000004d;
914                         break;
915                 default:
916                         break;
917         }
918         tf->tf_rax = eax;
919         tf->tf_rbx = ebx;
920         tf->tf_rcx = ecx;
921         tf->tf_rdx = edx;
922         tf->tf_rip += 2;
923         return TRUE;
924 }
925
926 static bool handle_vmexit_ept_fault(struct vm_trapframe *tf)
927 {
928         int prot = 0;
929         int ret;
930
931         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_READ ? PROT_READ : 0;
932         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_WRITE ? PROT_WRITE : 0;
933         prot |= tf->tf_exit_qual & VMX_EPT_FAULT_INS ? PROT_EXEC : 0;
934         ret = handle_page_fault(current, tf->tf_guest_pa, prot);
935         if (ret) {
936                 /* TODO: maybe put ret in the TF somewhere */
937                 return FALSE;
938         }
939         return TRUE;
940 }
941
942 /* Regarding NMI blocking,
943  *              "An NMI causes subsequent NMIs to be blocked, but only after the VM exit
944  *              completes." (SDM)
945  *
946  * Like handle_nmi(), this function and anything it calls directly cannot fault,
947  * or else we lose our NMI protections. */
948 static bool handle_vmexit_nmi(struct vm_trapframe *tf)
949 {
950         /* Sanity checks, make sure we really got an NMI.  Feel free to remove. */
951         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_NMI_INTR);
952         assert((tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK) == T_NMI);
953         assert(!irq_is_enabled());
954
955         emit_monitor_backtrace(ROS_VM_CTX, tf);
956         perfmon_snapshot_vmtf(tf);
957         send_self_ipi(IdtLAPIC_PCINT);
958         return TRUE;
959 }
960
961 bool handle_vmexit_msr(struct vm_trapframe *tf)
962 {
963         bool ret;
964
965         ret = vmm_emulate_msr(&tf->tf_rcx, &tf->tf_rdx, &tf->tf_rax,
966                               (tf->tf_exit_reason == EXIT_REASON_MSR_READ
967                                                    ? VMM_MSR_EMU_READ : VMM_MSR_EMU_WRITE));
968         if (ret)
969                 tf->tf_rip += 2;
970         return ret;
971 }
972
973 bool handle_vmexit_extirq(struct vm_trapframe *tf)
974 {
975         struct hw_trapframe hw_tf;
976
977         /* For now, we just handle external IRQs.  I think guest traps should go to
978          * the guest, based on our vmctls */
979         assert((tf->tf_intrinfo2 & INTR_INFO_INTR_TYPE_MASK) == INTR_TYPE_EXT_INTR);
980         /* TODO: Our IRQ handlers all expect TFs.  Let's fake one.  A bunch of
981          * handlers (e.g. backtrace/perf) will probably be unhappy about a user TF
982          * that is really a VM, so this all needs work. */
983         hw_tf.tf_gsbase = 0;
984         hw_tf.tf_fsbase = 0;
985         hw_tf.tf_rax = tf->tf_rax;
986         hw_tf.tf_rbx = tf->tf_rbx;
987         hw_tf.tf_rcx = tf->tf_rcx;
988         hw_tf.tf_rdx = tf->tf_rdx;
989         hw_tf.tf_rbp = tf->tf_rbp;
990         hw_tf.tf_rsi = tf->tf_rsi;
991         hw_tf.tf_rdi = tf->tf_rdi;
992         hw_tf.tf_r8 = tf->tf_r8;
993         hw_tf.tf_r9 = tf->tf_r9;
994         hw_tf.tf_r10 = tf->tf_r10;
995         hw_tf.tf_r11 = tf->tf_r11;
996         hw_tf.tf_r12 = tf->tf_r12;
997         hw_tf.tf_r13 = tf->tf_r13;
998         hw_tf.tf_r14 = tf->tf_r14;
999         hw_tf.tf_r15 = tf->tf_r15;
1000         hw_tf.tf_trapno = tf->tf_intrinfo2 & INTR_INFO_VECTOR_MASK;
1001         hw_tf.tf_err = 0;
1002         hw_tf.tf_rip = tf->tf_rip;
1003         hw_tf.tf_cs = GD_UT;    /* faking a user TF, even though it's a VM */
1004         hw_tf.tf_rflags = tf->tf_rflags;
1005         hw_tf.tf_rsp = tf->tf_rsp;
1006         hw_tf.tf_ss = GD_UD;
1007
1008         irq_dispatch(&hw_tf);
1009         /* Consider returning whether or not there was a handler registered */
1010         return TRUE;
1011 }
1012
1013 static bool handle_vmexit_xsetbv(struct vm_trapframe *tf)
1014 {
1015         // The VM's requested-feature bitmap is represented by edx:eax
1016         uint64_t vm_rfbm = (tf->tf_rdx << 32) | tf->tf_rax;
1017
1018         // If the VM tries to set xcr0 to a superset
1019         // of Akaros's default value, kill the VM.
1020
1021         // Bit in vm_rfbm and x86_default_xcr0:        Ok. Requested and allowed.
1022         // Bit in vm_rfbm but not x86_default_xcr0:    Bad! Requested, not allowed.
1023         // Bit not in vm_rfbm but in x86_default_xcr0: Ok. Not requested.
1024
1025         // vm_rfbm & (~x86_default_xcr0) is nonzero if any bits
1026         // are set in vm_rfbm but not x86_default_xcr0
1027
1028         if (vm_rfbm & (~__proc_global_info.x86_default_xcr0))
1029                 return FALSE;
1030
1031
1032         // If attempting to use vm_rfbm for xsetbv
1033         // causes a fault, we reflect to the VMM.
1034         if (safe_lxcr0(vm_rfbm))
1035                 return FALSE;
1036
1037
1038         // If no fault, advance the instruction pointer
1039         // and return TRUE to make the VM resume.
1040         tf->tf_rip += 3; // XSETBV is a 3-byte instruction
1041         return TRUE;
1042 }
1043
1044 static void vmexit_dispatch(struct vm_trapframe *tf)
1045 {
1046         bool handled = FALSE;
1047
1048         /* Do not block in any of these functions.
1049          *
1050          * If we block, we'll probably need to finalize the context.  If we do, then
1051          * there's a chance the guest pcore can start somewhere else, and then we
1052          * can't get the GPC loaded again.  Plus, they could be running a GPC with
1053          * an unresolved vmexit.  It's just mess.
1054          *
1055          * If we want to enable IRQs, we can do so on a case-by-case basis.  Don't
1056          * do it for external IRQs - the irq_dispatch code will handle it. */
1057         switch (tf->tf_exit_reason) {
1058         case EXIT_REASON_VMCALL:
1059                 if (current->vmm.flags & VMM_VMCALL_PRINTF) {
1060                         printk("%c", tf->tf_rdi);
1061                         tf->tf_rip += 3;
1062                         handled = TRUE;
1063                 }
1064                 break;
1065         case EXIT_REASON_CPUID:
1066                 handled = handle_vmexit_cpuid(tf);
1067                 break;
1068         case EXIT_REASON_EPT_VIOLATION:
1069                 handled = handle_vmexit_ept_fault(tf);
1070                 break;
1071         case EXIT_REASON_EXCEPTION_NMI:
1072                 handled = handle_vmexit_nmi(tf);
1073                 break;
1074         case EXIT_REASON_MSR_READ:
1075         case EXIT_REASON_MSR_WRITE:
1076                 handled = handle_vmexit_msr(tf);
1077                 break;
1078         case EXIT_REASON_EXTERNAL_INTERRUPT:
1079                 handled = handle_vmexit_extirq(tf);
1080                 break;
1081         case EXIT_REASON_XSETBV:
1082                 handled = handle_vmexit_xsetbv(tf);
1083                 break;
1084         default:
1085                 printd("Unhandled vmexit: reason 0x%x, exit qualification 0x%x\n",
1086                        tf->tf_exit_reason, tf->tf_exit_qual);
1087         }
1088         if (!handled) {
1089                 tf->tf_flags |= VMCTX_FL_HAS_FAULT;
1090                 if (reflect_current_context()) {
1091                         /* VM contexts shouldn't be in vcore context, so this should be
1092                          * pretty rare (unlike SCPs or VC ctx page faults). */
1093                         printk("[kernel] Unable to reflect VM Exit\n");
1094                         print_vmtrapframe(tf);
1095                         proc_destroy(current);
1096                 }
1097         }
1098 }
1099
1100 void handle_vmexit(struct vm_trapframe *tf)
1101 {
1102         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1103
1104         tf->tf_rip = vmcs_read(GUEST_RIP);
1105         tf->tf_rflags = vmcs_read(GUEST_RFLAGS);
1106         tf->tf_rsp = vmcs_read(GUEST_RSP);
1107         tf->tf_cr2 = rcr2();
1108         tf->tf_cr3 = vmcs_read(GUEST_CR3);
1109         tf->tf_guest_pcoreid = pcpui->guest_pcoreid;
1110         tf->tf_flags |= VMCTX_FL_PARTIAL;
1111         tf->tf_guest_intr_status = vmcs_read(GUEST_INTR_STATUS);
1112         tf->tf_exit_reason = vmcs_read(VM_EXIT_REASON);
1113         tf->tf_exit_qual = vmcs_read(EXIT_QUALIFICATION);
1114         tf->tf_intrinfo1 = vmcs_read(GUEST_INTERRUPTIBILITY_INFO);
1115         tf->tf_intrinfo2 = vmcs_read(VM_EXIT_INTR_INFO);
1116         tf->tf_guest_va = vmcs_read(GUEST_LINEAR_ADDRESS);
1117         tf->tf_guest_pa = vmcs_read(GUEST_PHYSICAL_ADDRESS);
1118
1119         set_current_ctx_vm(pcpui, tf);
1120         tf = &pcpui->cur_ctx->tf.vm_tf;
1121         vmexit_dispatch(tf);
1122         /* We're either restarting a partial VM ctx (vmcs was launched, loaded on
1123          * the core, etc) or a SW vc ctx for the reflected trap.  Or the proc is
1124          * dying and we'll handle a __death KMSG shortly. */
1125         proc_restartcore();
1126 }
1127
1128 /* Partial contexts for HW and SW TFs have the user's gs in MSR_KERNEL_GS_BASE.
1129  * The kernel's gs is loaded into gs.  We need to put the kernel's gs into
1130  * KERNEL_GS_BASE so the core is ready to run another full context, save the
1131  * user's {GS,FS}_BASE into their TF so it can run on another core, and keep GS
1132  * loaded with the current GS (the kernel's). */
1133 static void x86_finalize_hwtf(struct hw_trapframe *tf)
1134 {
1135         tf->tf_gsbase = read_msr(MSR_KERNEL_GS_BASE);
1136         write_msr(MSR_KERNEL_GS_BASE, read_gsbase());
1137         tf->tf_fsbase = read_fsbase();
1138         x86_hwtf_clear_partial(tf);
1139 }
1140
1141 static void x86_finalize_swtf(struct sw_trapframe *tf)
1142 {
1143         tf->tf_gsbase = read_msr(MSR_KERNEL_GS_BASE);
1144         write_msr(MSR_KERNEL_GS_BASE, read_gsbase());
1145         tf->tf_fsbase = read_fsbase();
1146         x86_swtf_clear_partial(tf);
1147 }
1148
1149 static void x86_finalize_vmtf(struct vm_trapframe *tf)
1150 {
1151         struct per_cpu_info *pcpui = &per_cpu_info[core_id()];
1152
1153         x86_vmtf_clear_partial(tf);
1154         unload_guest_pcore(pcpui->cur_proc, pcpui->guest_pcoreid);
1155 }
1156
1157 /* Makes sure that the user context is fully saved into ctx and not split across
1158  * the struct and HW, meaning it is not a "partial context".
1159  *
1160  * Be careful to zero out any part of the ctx struct not in use, to avoid
1161  * leaking information from other processes. */
1162 void arch_finalize_ctx(struct user_context *ctx)
1163 {
1164         if (!arch_ctx_is_partial(ctx))
1165                 return;
1166         switch (ctx->type) {
1167         case ROS_HW_CTX:
1168                 x86_finalize_hwtf(&ctx->tf.hw_tf);
1169                 memset((uint8_t*)&ctx->tf + sizeof(struct hw_trapframe), 0,
1170                            sizeof(ctx->tf) - sizeof(struct hw_trapframe));
1171                 break;
1172         case ROS_SW_CTX:
1173                 x86_finalize_swtf(&ctx->tf.sw_tf);
1174                 memset((uint8_t*)&ctx->tf + sizeof(struct sw_trapframe), 0,
1175                            sizeof(ctx->tf) - sizeof(struct sw_trapframe));
1176                 break;
1177         case ROS_VM_CTX:
1178                 x86_finalize_vmtf(&ctx->tf.vm_tf);
1179                 memset((uint8_t*)&ctx->tf + sizeof(struct vm_trapframe), 0,
1180                            sizeof(ctx->tf) - sizeof(struct vm_trapframe));
1181                 break;
1182         }
1183 }