重磅首发|字节Android Native Memory Corruption工具原理与实践

👆 点击蓝字关注我们，不错过后续精彩内容推送～

内容摘要

一、背景

二、什么是Memory Corruption问题

2.1 UseAfterFree

void HeapUseAfterFree() {
  int *ptr1 = (int*)malloc(4);
  if(ptr1 != NULL){
    *ptr1 = 0xcccc;
    free(ptr1);           //free ptr1           
    *ptr1 = 0xabcd;       //free后write ptr1 mem这里不会崩溃
  }
}

这里以 UAF 问题说明 Native 崩溃后不是第一现场的场景。假设上面代码运行在线程A，第2行申请 4byte 大小的一块堆内存，第 5 行释放这块堆内存，执行第 6 行前线程A时间片执行完，切换到线程B执行，线程B此时申请4byte大小的内存块，内存管理器会概率性的分配之前已经释放的 ptr1 指向的内存块分配给线程B使用，线程B给ptr2指向内存赋值 0xff，之后线程B时间片执行完让出 CPU，切换线程 A 执行，ptr1 被赋值 0xabcd，之后切换回线程 B 进行条件判断，ptr2 内存值不为 0xff 触发异常逻辑。不是线程 B 预期的值。这样的场景在大型的 App 程序运行过程中时有发生。

2.2 DoubleFree

void DoubleFree() {
  int *ptr = (int*)malloc(4);
  free(ptr);
  free(ptr);
}

2.3 HeapBufferOverflow

void HeapBufferOverflow() {
  char *ptr = (char*)malloc(sizeof(char)*100);
  *(ptr+101) = "aa";
  *(ptr+102) = "bb";
  *(ptr+103) = "cc";
  *(ptr+104) = "dd";
  free(ptr);
}

三、工具现状

四、字节方案

开发前首先要明确需要解决哪些问题。

• 需要解决的问题如下：

• 兼容性强、性能开销低、内存消耗小、稳定性高；

• 栈回溯高效且准确，需要记录线程信息、内存分配大小和内存地址信息；

• 功能可配置化管理，方便线上线下使用，接入成本低；

• 用户无感知检测，发生异常时不触发崩溃；

4.4 无感知检测

4.5 方案流程

4.6 方案优缺点

优点

• 线上线下可用，接入成本低，依赖 aar 组件初始化即可，无需额外操作；
• 可配置化管理，通过云端下发配置，动态开关功能；
• 内存分配采样管理，内存池线上控制在100KB～8MB，总内存开销在700KB～8.6MB；

五、线上效果与案例分析

案例1  UseAfterFree问题

• 异常栈与Abort msg

• Free 栈信息

• Alloc 内存信息

案例2 DoubleFree问题

• 异常栈与Abort msg

• Free栈信息

• Alloc栈信息

六、总结

后续计划