释放内存出现HEAP CORRUPTION DETECTED错误

今天敲代码，出现了HEAP CORRUPTION DETECTED错误，本来指针分配内存，最后再释放内存空间是天经地义的事情，竟然报错，开始也摸不着头脑，最后百度了一下，最终发现问题是，我分配了len长度的空间，我却用到了len + 1的长度，释放的时候就报错了。贴下我的代码，主要是实现将两种内存模型里的数据拷贝到第三种内存模型中，并且排序输出：

#define _CRT_SECURE_NO_WARNINGS
#include"stdio.h"
#include"stdlib.h"
#include"string.h"

int getzip(char** p1, int num1, char (*p2)[30], int num2, char*** p3, int *num) {
    int ret = 0;
    char** tmp = NULL;
    int num3 = 0;
    if (p1 == NULL || p2 == NULL || p3 == NULL) {
        ret = 1;
        printf("func getzip 传入了空地址: %d\n", ret);
        return ret;
    }
    num3 = num1 + num2;
    tmp = (char**)malloc(sizeof(char*) * num3);
    if (tmp == NULL) {
        ret = 1;
        printf("func getzip 内存分配失败: %d\n", ret);
        return ret;
    }
    for (int i = 0; i < num1; i++) {
        int len = strlen(p1[i]) + 1;
        tmp[i] = (char*)malloc(len);
        if (tmp[i] == NULL) {
            ret = 2;
            printf("func getzip 内存分配失败: %d\n", ret);
            goto END;
        }
        strcpy(tmp[i], p1[i]);
        //tmp[i][len] = '\0';           //错误在这里
    }

    for (int i = 0; i < num2; i++) {
        int len = strlen(p2[i]) + 1;
        tmp[num1 + i] = (char*)malloc(len);
        if (tmp[i] == NULL) {
            ret = 2;
            printf("func getzip 内存分配失败: %d\n", ret);
            goto END;
        }
        strcpy(tmp[num1 + i], p2[i]);
        //tmp[num1 + i][len] = '\0';           //错误在这里
    }

END:
    if (ret != 0) {
        if (tmp != NULL) {
            for (int i = 0; i < num3; i++) {
                if (tmp[i] != NULL)
                    free(tmp[i]);
            }
            free(tmp);
        }
    }
    else {
        *p3 = tmp;
        *num = num3;
    }
    return 0;
}

int print_str(char** p3, int num3) {
    int ret = 0;
    if (p3 == NULL) {
        ret = 1;
        printf("func print_str 传入了空地址: %d\n", ret);
        return ret;
    }

    for (int i = 0; i < num3; i++) {
        if(p3[i] != NULL)
            printf("%s\n", p3[i]);
    }

    return 0;
}

int sort_str(char** p3, int num3) {
    int ret = 0;
    char* tmp = NULL;

    if (p3 == NULL) {
        ret = 1;
        printf("func print_str 传入了空地址: %d\n", ret);
        return ret;
    }

    for (int i = 0; i < num3; i++) {
        for (int j = i + 1; j < num3; j++) {
            if (strcmp(p3[i], p3[j]) > 0) {
                tmp = p3[i];
                p3[i] = p3[j];
                p3[j] = tmp;
            }
        }
    }

    return 0;
}

void freemem(char*** p3, int num3) {
    int ret = 0;
    char** tmp = NULL;
    if (p3 == NULL || *p3 == NULL)
        return;

    tmp = *p3;
    for (int i = 0; i < num3; i++) {
        if (tmp[i] != NULL)
            free(tmp[i]);
    }
    free(tmp);
    *p3 = NULL;
    return ;
}

int main(){
    int ret = 0;
    int num1 = 3, num2 = 4;
    int num3 = 0;
    char *p1[] = {"2222222", "333333333", "111111111111"};
    char p2[4][30] = {"nnnnnn", "oooooooo", "ddddddddd", "bbbbbbbbb"};
    char** p3 = NULL;

    getzip(p1, num1, p2, num2, &p3, &num3);

    print_str(p3, num3);

    sort_str(p3, num3);

    print_str(p3, num3);

    freemem(&p3, num3);

    system("pause");
    return 0;
}

当初忘记了strcpy是会把’\0’一起拷贝过去的，顺便把strcpy实现的源码贴在这里：

char *strcpy(char *strDest, const char *strSrc);
{
assert((strDest!=NULL) && (strSrc !=NULL)); 
char *address = strDest; 
while( (*strDest++ = * strSrc++) != ‘\0’ ) 
NULL ;
return address ; 
}

然后自己加了一句：

tmp[i][len] = '\0'; 

本来内存空间只开辟了len长度，我这算是用到len + 1个长度了，类似越界了，所以释放的时候就会报错，感觉应该是释放空间时，查到使用了本来不属于这个指针所指向的空间，就会释放出错。如果改成：

tmp[i][len - 1] = '\0'; 

这样子释放也没有问题，所以感觉释放出问题，差不多就是分配内存空间或者使用内存空间时出问题了。