c++ - 检测对范围外变量的访问

Question

Code like this是未定义的行为，因为它访问一个不再在范围内(其生命周期已结束)的局部变量。

int main() {
    int *a;
    {
        int b = 42;
        a = &b;
    }
    printf("%d", *a); // UB!
    return 0;
}

我的问题:是否有自动检测此类错误的好方法？它似乎应该是可检测的(当变量超出范围时将堆栈空间的一部分标记为不可用，然后如果该空间被访问则提示)，但是 Valgrind 3.10、Clang 4 的 AddressSanitizer 和 UndefinedBehaviorSanitizer，以及 GCC 6 的 AddressSanitizer 和 UndefinedBehaviorSanitizer 都没有'提示。

Answer 1

如果没有特殊的编译器支持，非侵入式内存调试器(如 Valgrind)可以检测到对超出范围的堆栈帧的访问，但不能检测到函数内的范围。这是因为编译器(通常)allocate all the memory for a stack frame in a single pass *。因此，为了检测同一函数内对超出范围变量的访问，我们需要特定的编译器工具来“毒化”超出范围但其封闭框架仍然有效的变量。

ubsan 使用的技术 AddressSanitizer ，在最新版本的 clang 和 gcc 中可用，是 replace stack access with access to specially allocated memory :

In order to implemented quarantine for the stack memory we need to promote stack to heap. [...] __asan_stack_malloc(real_stack, frame_size) allocates a fake frame (frame_size bytes) from a thread-local heap-like structure (fake stack). Every fake frame comes unpoisoned and then the redzones are poisoned in the instrumented function code. __asan_stack_free(fake_stack, real_stack, frame_size) poisons the entire fake frame and deallocates it.

用法和输出示例:

$ g++ -std=c++11 a.cpp -fsanitize=address && env ASAN_OPTIONS='detect_stack_use_after_return=1' ./a.out 
ERROR: AddressSanitizer: stack-use-after-scope on address 0x7fd0e8300020 at pc 0x000000400c1b bp 0x7fff5b45ecf0 sp 0x7fff5b45ece8
READ of size 4 at 0x7fd0e8300020 thread T0
    #0 0x400c1a in main (a.out+0x400c1a)
    #1 0x7fd0ebe18d5c in __libc_start_main (/lib64/libc.so.6+0x1ed5c)
    #2 0x400a48  (a.out+0x400a48)

Address 0x7fd0e8300020 is located in stack of thread T0 at offset 32 in frame
    #0 0x400b26 in main (a.out+0x400b26)

  This frame has 1 object(s):
    [32, 36) 'b' <== Memory access at offset 32 is inside this variable

请注意，因为它很昂贵，所以必须在编译时 (-fsanitize=address) 和运行时 (ASAN_OPTIONS='detect_stack_use_after_return=1') 请求它.关于最低版本；它适用于 gcc 7.1.0 和 clang 主干，但显然不适用于任何已发布的 clang 版本，因此如果您想使用已发布的编译器，则必须使用 gcc。

---

* 考虑到这两个函数编译(例如通过 gcc at -O0)到相同的机器代码，所以非侵入式内存调试器无法**区分它们:

int f() {
    int* a;
    {
        int b = 42;
        a = &b;
    }
    return *a;
}

int g() {
    int* a;
    int b = 42;
    a = &b;
    return *a;
}

** 严格来说，如果调试符号可用，则调试器可以跟踪进入和超出范围的变量。但一般来说，如果您有可用的调试符号，您就有了源代码，因此可以使用检测重新编译程序。