# 記憶體問題難定位，那是因為你沒用 ASAN

## 1. 什麼是 ASAN

ASAN 全稱：Address Sanitizer,google 發明的一種記憶體地址錯誤檢查器。目前已經被整合到各大編譯器中。

## 2. 為什麼我們需要 ASAN

在 c/c++ 開發過程中，經常出現記憶體異常使用的問題，比如踩記憶體，被踩的記憶體如果未被使用對外無影響。而一旦使用了被踩的記憶體，可能會出現程式 core，死迴圈，進入異常分支等等各種千奇百怪的問題。這個時候要去定位這段記憶體為什麼被踩，相當困難，因為已經錯過了案發現場。如果不幸，遇到了這種問題，常用手段是：

1）分析被踩記憶體的特徵值，比如是否是一個 magic 值，然後從程式碼庫中找特徵值，分析程式碼，縮小排查方向。

2）找到必現條件，透過 gdb 的 watch 功能，watch 被踩的記憶體地址，一旦被踩，gdb 將會打出踩記憶體的堆疊。

根據作者的經驗，出現踩記憶體的問題需要消耗大量的人力定位。少則一人周，多種數人月。而這類問題，往往是由於某個低階編碼錯誤引起的。

所以，我們迫切的希望，能在踩記憶體的第一現場就把兇手抓住，而不是在破壞已經表現出來的時候再去分析定位。而 asan 就能達到這個目的，它會接管記憶體的申請和釋放，每次的記憶體的讀寫都會檢查，因此可以做到快速的定位踩記憶體的問題。在 asan 之前也有其他的記憶體分析工具，但是 asan 是這些工具中比較優秀的，並不會損失大量的效能和記憶體（官方資料，效能下降兩倍，而 valgrind 下降 20 倍）

## 3.ASAN 可以定位哪些記憶體使用問題

1、Heap OOB（HeapOutOfBounds 堆記憶體越界）

```text
int main(int argc, char **argv) {
  int *array = new int[100];
 array[0] = 0;
  int res = array[argc + 100]; // BOOM
 delete [] array;
 return res;
}
```

2、Stack OOB（StackOutOfBounds 棧越界）

```text
int main(int argc, char **argv) {
  int stack_array[100];
 stack_array[1] = 0;
 return stack_array[argc + 100]; // BOOM
}
```

3、Global OOB（GlobalOutOfBounds 全域性變數越界）

```text
int global_array[100] = {-1};
int main(int argc, char **argv) {
 return global_array[argc + 100]; // BOOM
}
```

4、UAF（UseAfterFree 記憶體釋放後使用）

```text
int main(int argc, char **argv) {
  int *array = new int[100];
 delete [] array;
 return array[argc]; // BOOM
}
```

5、UAR（UseAfterReturn 棧記憶體回收後使用，該功能還存在少量 bug，預設未開啟，開啟 ASAN_OPTIONS=detect_stack_use_after_return=1）

```text
int *ptr;
__attribute__((noinline))
void FunctionThatEscapesLocalObject() {
  int local[100];
 ptr = &local[0];
}
int main(int argc, char **argv) {
 FunctionThatEscapesLocalObject();
 return ptr[argc];
}
```

6、UMR (uninitialized memory reads 讀取未初始化記憶體)

7、Leaks（記憶體洩露）

## 4. 怎麼使用 ASAN 工具

現在大部分編譯器已經整合了支援 asan 的能力，編譯的時候加上編譯選項即可。

常見的編譯選項：

- -fsanitize=address 開起 asan 能力，gcc 4.8 版本開啟支援。
- -fsanitize-recover=address ：asan 檢查到錯誤後，不 core 繼續執行，需要配合環境變數 ASAN_OPTIONS=halt_on_error=0:report_path=xxx 使用。gcc 6 版本開始支援。

本文使用的是華為 EulerOS v2r9 版本。

下面開始我們的 asan 之旅

1、寫個 bug，寫一個釋放後的記憶體還在使用的例子。

```text
#include <stdlib.h>
int main()
{
    int *p = malloc(sizeof(int)*10);
 free(p);
 *p = 3;//該程式正常情況下並不會導致程式core，因為free後的記憶體被glibc的記憶體分配器快取著
 return 0;
}
```

2、加上編譯選項編譯：gcc -fsanitize=address -g ./test.c -lasan -L /root/buildbox/gcc-10.2.0/lib64/ 其中 - L 指定的是 libasan.so 存放的位置。

3、指定 asan 的 so 的目錄，export LD_LIBRARY_PATH=/root/buildbox/gcc-10.2.0/lib64/，執行./a.out 執行程式，將可以看到 asan 報錯。指出了記憶體異常使用的位置和原因。

![img](https://f.pz.al/pzal/2022/09/14/0743a0b3ade06.jpg)

4、在工程中，我們更希望程式遇到錯誤能不中斷，而繼續執行下去，我們可以使用 -fsanitize-recover=address 方法。這次我們更改下程式碼，多引入幾個錯誤。

```text
#include <stdlib.h>
int main()
{
    int *p = malloc(sizeof(int)*10);
 free(p);
 *p = 3; //錯誤1.釋放後繼續使用
    p = malloc(sizeof(int)*10);
    p[11] = 3;//錯誤2，越界寫
 return 0;
}
```

5、編譯：gcc -fsanitize=address -fsanitize-recover=address -g ./test.c -lasan -L /root/buildbox/gcc-10.2.0/lib64/

6、設定環境變數：export ASAN_OPTIONS=halt_on_error=0:log_path=/var/log/err.log，執行程式./a.out

7、檢視日誌路徑：在 /var/log 目錄下，形成一個 err.log.212 的檔案，212 是執行./a.out 的程式號。檔案記錄了詳細的錯誤資訊。

![img](https://f.pz.al/pzal/2022/09/14/0ea37d031f648.jpg)

![img](https://f.pz.al/pzal/2022/09/14/272b20ba522c3.jpg)

## 5. ASAN 的原理是什麼

ASAN 要記錄每一塊記憶體的可用性。把使用者程式所在的記憶體區域叫做主記憶體，而記錄主記憶體可用性的記憶體區域，則叫做影子記憶體 (Shadow memory)。

所有主記憶體的分配都按照 8 位元組的方式對齊。然後按照 1：8 的壓縮比例對主記憶體的可用性進行記錄，然後存入影子記憶體中。影子記憶體無法被使用者直接讀寫，需要編譯器生成相關的程式碼來訪問。

每一次記憶體的分配和釋放，都會寫入影子記憶體。每次讀 / 寫記憶體區域前，都會讀取一下影子記憶體，獲得這塊記憶體訪問合法性 (是否被分配，是否已被釋放)。

對影子記憶體的寫入只在分配記憶體的時候發生，所以只要分配記憶體是多執行緒安全的，ASan 就是多執行緒安全的，這在大部分情況下也確實成立。

感興趣的夥伴可以在3A雲伺服器上部署相關環境進行測試，計算影子記憶體的地址需要快速，他們採用了：主記憶體地址除以 8，再加上一個偏移量的做法。因為堆疊分別在虛擬記憶體地址空間的兩端，這樣影子記憶體就會落在中間。而如果使用者以外訪問了影子記憶體，那麼影子記憶體的 "影子記憶體" 就會落到一個非法的範圍 (Shadow Gap) 內，就可以知道訪問出了些問題。</stdlib.h></stdlib.h>

記憶體問題難定位，那是因為你沒用 ASAN

相關文章