[FAQ19076]如何查看slub内存申请/释放的调用栈

[DESCRIPTION]

踩内存是最难调试的问题之一，kernel里大部分kernel结构体都是从slub分配出去的，因此slub踩内存也是常见的问题。

通常遇到踩内存，我们会切换的eng版本复现，eng版本有开slub debug功能，会对free memory填充0x6b，pad填充0x5a等等，同时还会记录申请和释放的调用栈，可以轻易查出use after free问题。

下面将给出查看slub内存申请/释放的调用栈的方法。

 

[SOLUTION]

在eng版本，抓到minidump或ramdump情况下，如果有dump到slub memory，那么可以根据slub memory layout找出存放申请/释放的调用栈的位置，推导出申请/释放调用栈。具体位置看对应的代码就知道了：

[C/C++]hide

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

static struct track *get_track(struct kmem_cache *s, void *object, enum track_item alloc)   {       struct track *p;           if (s->offset)          p = object + s->offset + sizeof(void *);       else           p = object + s->inuse;           return p + alloc;   }

可以看到是放在后面，已下面的例子来讲：

[C/C++]hide

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31

_____________________address|________0________4________8________C_0123456789ABCDEF    NSD:0000:FFFFFFC08167F790| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk ^E__+^Track+    NSD:0000:FFFFFFC08167F7A0| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk    NSD:0000:FFFFFFC08167F7B0| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk    NSD:0000:FFFFFFC08167F7C0| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk    NSD:0000:FFFFFFC08167F7D0| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk    NSD:0000:FFFFFFC08167F7E0| 6B6B6B6B 6B6B6B6B 6B6B6B6B 6B6B6B6B kkkkkkkkkkkkkkkk    NSD:0000:FFFFFFC08167F7F0| 6B6B6B6B 6B6B6B6B 6B6B6B6B A56B6B6B kkkkkkkkkkkkkkk.    NSD:0000:FFFFFFC08167F800| BBBBBBBB BBBBBBBB 00000000 00000000 ................    NSD:0000:FFFFFFC08167F810| 005A0268 FFFFFFC0 041E9A40 041EA47C h.Z.....@...|...    NSD:0000:FFFFFFC08167F820| 041EAA58 045A0268 045930E8 04594AB0 X...h.Z..0Y..JY.    NSD:0000:FFFFFFC08167F830| 0420B4CC 0420B6DC 00000000 00000242 .. ... .....B...    NSD:0000:FFFFFFC08167F840| 00038494 00000001 0059FF2C FFFFFFC0 ........,.Y.....    NSD:0000:FFFFFFC08167F850| 041E939C 041E9744 041EB8EC 0459FF2C ....D.......,.Y.    NSD:0000:FFFFFFC08167F860| 040C3CDC 04085450 00000000 00000000 .<..PT..........    NSD:0000:FFFFFFC08167F870| 00000000 00000348 00038494 00000001 ....H...........

0xBB是redzone，那么track起始地址是0xFFFFFFC08167F810，用trace32可以case出2个track结构体内容：

[C/C++]hide

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57

((struct track*)0xFFFFFFC08167F810)[0..1] = (   (    addr = 0xFFFFFFC0005A0268,    addrs = (     0x041E9A40,     0x041EA47C,     0x041EAA58,     0x045A0268,     0x045930E8,     0x04594AB0,     0x0420B4CC,     0x0420B6DC),    cpu = 0x0,    pid = 0x0242,    when = 0x0000000100038494),   (    addr = 0xFFFFFFC00059FF2C,    addrs = (     0x041E939C,     0x041E9744,     0x041EB8EC,     0x0459FF2C,     0x040C3CDC,     0x04085450,     0x0,     0x0),    cpu = 0x0,    pid = 0x0348,    when = 0x0000000100038494))

其中第0个是申请时的信息，addrs是申请调用栈，第1个是释放的信息，addrs是释放调用栈。

如果是64位OS的话，还需要将32位地址转换为64位地址才行。看代码就知道如何转换了：

[C/C++]hide

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

static void set_track(struct kmem_cache *s, void *object, enum track_item alloc, unsigned long addr)   {       ......       for (i = 0; i < TRACK_ADDRS_COUNT; i++) {           if (addrs[i])               p->addrs[i] = addrs[i] - MODULES_VADDR;           else              p->addrs[i] = 0;       }       ......   }

只要加上MODULES_VADDR就可以。

然后再通过addr2line转换为具体的函数名，就可以看到调用栈了。