• 在受害者进程中找到可以在攻击者和受害者之间建立信息传递的隐蔽通道[3][p9]；
• 在受害者进程中找到可以将敏感信息传递到隐蔽通道的指令片段；
• 攻击者进程训练分支目标预测器，使受害者进程在特定位置的预测执行中执行我们选定的指令片段；
• 攻击者进程不断刷新CPU特定位置的L1、L2、L3 Cache，触发受害者进程在特定位置的预测执行；
• 攻击者进程利用缓存侧信道攻击手段将隐蔽通道内的状态信息转化为ASCII字节。

为了提高CPU指令执行的并发度，人们发明了多级流水线。但是如果前后两条指令存在依赖，比如数据依赖、控制依赖，那么流水线中的后一条指令就必须等待前一条指令执行完才能执行。为了提升流水线的效率，CPU对不存在依赖的指令进行乱序和调度，减少流水线的停留，提高指令运行的吞吐率。虽然CPU内部是在乱序执行指令，但是对外则是根据指令原来的顺序提交乱序执行结果，所以我们从外部看到的是顺序执行的结果。

3.2 预测执行（Speculative Execution）

处理器在乱序执行的过程中如果遇到条件分支

条件分支：
if(condition){
    ......
}

间接跳转：
call rax、jmp [rax]、ret

3.3 分支预测（Branch Prediction）

3.4 计算机存储结构

条件分支：
if(condition){
    ......
}

间接跳转：
call rax、jmp [rax]、ret

push rip
jmp *0xb0(%r8)

/* ‘bhb_state‘ points to the branch history
* buffer to be updated
* ‘src‘ is the virtual address of the last
* byte of the source instruction
* ‘dst‘ is the virtual destination address
*/
void bhb_update(uint58_t *bhb_state, unsigned long src, unsigned long dst) {
    *bhb_state <<= 2;
    *bhb_state ˆ= (dst & 0x3f);函数返回地址预测器（Return Predictor ）
    *bhb_state ˆ= (src & 0xc0) >> 6;
    *bhb_state ˆ= (src & 0xc00) >> (10 - 2);
    *bhb_state ˆ= (src & 0xc000) >> (14 - 4);
    *bhb_state ˆ= (src & 0x30) << (6 - 4);
    *bhb_state ˆ= (src & 0x300) << (8 - 8);
    *bhb_state ˆ= (src & 0x3000) >> (12 - 10);
    *bhb_state ˆ= (src & 0x30000) >> (16 - 12);
    *bhb_state ˆ= (src & 0xc0000) >> (18 - 14);
}

ProbeTable:
             db     0x10000 dup (0)          #定义一个可被探测的数组，大小为256 × 256  
secret: 
             db     'a'                      # 0x61
xor eax, eax                                 # eax = 0
mov ah, [secret]                             # ax = 0x6100
mov ebx, ProbeTable[eax]                     #字符转化为位置并访问