android - 在 android 中使用 malloc/free

Question

我使用 malloc() 分配内存，当我这样做时，我使用 'free() 释放内存。当我释放它时，我得到“ABORTING LIBC”。

我在alloc和free的时候打印出address的值，是0x410f1008。但是当我释放它时，它正在释放 0x410f1000，这是为什么？

D/        ( 3076): build_: alloc 0x410f1008
...
D/        ( 3076): build: free 0x410f1008
F/libc    ( 3076): @@@ ABORTING: LIBC: ARGUMENT IS INVALID HEAP ADDRESS IN dlfree addr=0x410f1000
F/libc    ( 3076): Fatal signal 11 (SIGSEGV) at 0xdeadbaad (code=1), thread 3076 (test)
I/DEBUG   ( 1647): *** *** *** *** *** *** *** *** *** *** *** *** *** *** *** ***
I/DEBUG   ( 1647): Build fingerprint: ''
I/DEBUG   ( 1647): Revision: '0'
I/DEBUG   ( 1647): pid: 3076, tid: 3076, name: test  >>> test <<<
I/DEBUG   ( 1647): signal 11 (SIGSEGV), code 1 (SEGV_MAPERR), fault addr deadbaad
I/DEBUG   ( 1647):     r0 00000055  r1 be960720  r2 00000003  r3 deadbaad
I/DEBUG   ( 1647):     r4 400fa228  r5 410f1000  r6 be960748  r7 400ed73a
I/DEBUG   ( 1647):     r8 410f1008  r9 ffffff82  sl 000829a0  fp 000007e0
I/DEBUG   ( 1647):     ip 00000000  sp be960748  lr 400d9a29  pc 400bdffc  cpsr 00000030
I/DEBUG   ( 1647):     d0  3830303166303134  d1  65696c63204d4d20
I/DEBUG   ( 1647):     d2  0000000000000066  d3  0000000000000072
I/DEBUG   ( 1647):     d4  0000000000000000  d5  0000000000000000
I/DEBUG   ( 1647):     d6  0000000000000000  d7  94e7c71700000000
I/DEBUG   ( 1647):     d8  0000000000000000  d9  0000000000000000
I/DEBUG   ( 1647):     d10 0000000000000000  d11 0000000000000000
I/DEBUG   ( 1647):     d12 0000000000000000  d13 0000000000000000
I/DEBUG   ( 1647):     d14 0000000000000000  d15 0000000000000000
I/DEBUG   ( 1647):     d16 c1dac60e3a4fdf3b  d17 3f50624dd2f1a9fc
I/DEBUG   ( 1647):     d18 41a9f539c0000000  d19 0000000000000000
I/DEBUG   ( 1647):     d20 0000000000000000  d21 0000000000000000
I/DEBUG   ( 1647):     d22 0000000000000000  d23 0000000000000000
I/DEBUG   ( 1647):     d24 0000000000000000  d25 0000000000000000
I/DEBUG   ( 1647):     d26 0000000000000000  d27 0000000000000000
I/DEBUG   ( 1647):     d28 0000000000000000  d29 0000000000000000
I/DEBUG   ( 1647):     d30 0000000000000000  d31 0000000000000000
I/DEBUG   ( 1647):     scr 00000010
I/DEBUG   ( 1647): 
I/DEBUG   ( 1647): backtrace:
I/DEBUG   ( 1647):     #00  pc 0000effc  /system/lib/libc.so
I/DEBUG   ( 1647):     #01  pc 00011da3  /system/lib/libc.so (dlfree+1458)
I/DEBUG   ( 1647):     #02  pc 0000cf13  /system/lib/libc.so (free+10)
I/DEBUG   ( 1647):     #03  pc 00002c25  /system/bin/ppm2jpg
I/DEBUG   ( 1647):     #04  pc 0000316d  /system/bin/ppm2jpg
I/DEBUG   ( 1647):     #05  pc 0001271f  /system/lib/libc.so (__libc_init+38)
I/DEBUG   ( 1647):     #06  pc 00000b3c  /system/bin/ppm2jpg
I/DEBUG   ( 1647): 
I/DEBUG   ( 1647): stack:
I/DEBUG   ( 1647):          be960708  00000001  
I/DEBUG   ( 1647):          be96070c  400ed73a  /system/lib/libc.so
I/DEBUG   ( 1647):          be960710  410f1008  
I/DEBUG   ( 1647):          be960714  400d9a93  /system/lib/libc.so
I/DEBUG   ( 1647):          be960718  00000010  
I/DEBUG   ( 1647):          be96071c  00000007  
I/DEBUG   ( 1647):          be960720  be96071c  [stack]
I/DEBUG   ( 1647):          be960724  00000001  
I/DEBUG   ( 1647):          be960728  400ed336  /system/lib/libc.so
I/DEBUG   ( 1647):          be96072c  00000005  
I/DEBUG   ( 1647):          be960730  be960754  [stack]
I/DEBUG   ( 1647):          be960734  0000004f  
I/DEBUG   ( 1647):          be960738  400fa228  

Answer 1

为了理解这种情况，我调试了 dlmalloc因为它使用最广泛，而且我们确实在公共(public)领域提供了源代码。 ftp://g.oswego.edu/pub/misc/malloc.c

#include"dlmalloc.h"
#include<string.h>

void use_dlmalloc(void){
    size_t sz = 32;
    char* a = (char*)malloc(32);
    strcpy(a,"DougLeaMalloc");
    free(a);
}

int main() {
    use_dlmalloc();
    return 0;
}

下面是 GDB session 的快照。我们可以看到 malloc 返回了0x60c010 并且在释放内存分配器的同时在内部将指针移回两个字(在这个 16 字节中，因为我的是 64 位机器)。所以内部它实际上释放了 0x60c000。这与您的问题相匹配，唯一的区别是您得到了 8 字节的差异，因为您的机器应该是 32 位的。

(gdb) step
use_dlmalloc () at client.c:5
5       size_t sz = 32;
(gdb) n
6       char* a = (char*)malloc(32);
(gdb) 
7       strcpy(a,"DougLeaMalloc");
(gdb) p a
$1 = 0x60c010 ""
(gdb) n
8       free(a);
(gdb) step
free (mem=0x60c010) at dougleamalloc.c:4684
4684      if (mem != 0) {
(gdb) bt
#0  free (mem=0x60c010) at dougleamalloc.c:4684
#1  0x00000000004096f4 in use_dlmalloc () at client.c:8
#2  0x00000000004096ff in main () at client.c:12
(gdb) n
4685        mchunkptr p  = mem2chunk(mem);
(gdb) p p
$3 = (mchunkptr) 0x60c000
(gdb) n
4697          if (RTCHECK(ok_address(fm, p) && ok_inuse(p))) {

mem2chunk 是 marco，定义如下。这意味着 TWO_SIZE_T_SIZES 将是两个字(64 位机器上为 16 字节，32 位机器上为 8 字节)。这个宏基本上将指针移回。

#define mem2chunk(mem)      ((mchunkptr)((char*)(mem) - TWO_SIZE_T_SIZES))

这是 malloc block 的结构。分配时将地址返回给用户箭头所指。在此之前，它存储所有重要信息，例如尺寸 block 的数量、 block 的状态(自由分配)和一些额外的管理信息。

struct malloc_chunk {
  size_t               prev_foot;  /* Size of previous chunk (if free).  */
  size_t               head;       /* Size and inuse bits. */
  struct malloc_chunk* fd;         =============> This address returned by malloc.
  struct malloc_chunk* bk;
};

当释放用户传递从 malloc() 返回的地址时。现在堆分配器在内部将指针向后移动 8 或 16 个字节，以便他可以获取有关 block 的所有内务管理信息。这是边界标记方法，您可以通过阅读他的代码中的注释来阅读和理解许多好的概念。

我认为这解释了地址从 malloc 转移到 free() 的原因。但是我不知道为什么在 android 上你会收到“ABORTING LIBC”消息。希望上面的解释有用。