KASAN解决内核内存越界访问，释放后使用问题

嘀嗒嗒~

已于 2024-06-12 07:27:00 修改

阅读量95

点赞数

文章标签： linux

于 2023-10-11 20:24:10 首次发布

本文链接：https://blog.csdn.net/paul1994/article/details/133772914

版权

1、整体思路

2、内核支持KASAN功能，打开调试信息

3、使用 addr2line 工具定位到异常代码行

KASAN是一个动态检测内存错误的工具。KASAN可以检测全局变量、栈、堆分配的内存发生越界访问 "out-of-bounds" 和释放后访问 "use-after-free"等问题，但是不能解决内存泄漏问题。

1、整体思路

a、内核支持 kasan 配置项

b、内核打开调试信息，增加-g编译参数，为了可以使用 addr2line 工具越界访问的代码行

c、分析kasan的打印日志定位信息，kasan的日志信息主要分为4部分

1) 读或写异常访问的栈回溯信息。
2) 数据结构空间分配的堆栈信息。
3) 数据结构内存释放的内存信息。
4) 异常访问地址附近内存的可用状态。

d、根据kasan的堆栈打印，定位到具体的代码行，分析问题。

2、内核支持KASAN功能，打开调试信息

a、内核支持 kasan 配置项，当出现越界访问时会打印kasan的报告日志。

CONFIG_SLUB_DEBUG=y
CONFIG_KASAN=y

b、内核打开调试信息，增加-g编译参数，编译器优化等级改为 -O0 ，为了可以使用 addr2line 工具越界访问的代码行。

linux/src/Makefile 文件，搜索编译参数 KBUILD_CFLAGS，在编译参数上增加 -g 选项。KBUILD_CFLAGS := -DCONFIG_DH_MODIFY -Wall -g -Wundef -Werror=strict-prototypes -Wno-trigraphs \
       -fno-strict-aliasing -fno-common -fshort-wchar -fno-PIE \
       -Werror=implicit-function-declaration -Werror=implicit-int \
       -Werror=return-type -Wno-format-security \
       -std=gnu89 -fstack-protector-all -z noexecstack

c、注意：开启上面选项之后所有的驱动模块需要重新编译，不然驱动模块可能无法正常执行。

3、使用 addr2line 工具定位到异常代码行

以防火墙模块为例：[ 131.412368] memory_init+0x124/0x2ec [netctrl]

memory_init 函数大小为 0x2ec 字节，代码执行到偏移 0x124 出异常，我们需要定位 0x124 对应哪一行代码。

a、从ko模块中获取 memory_init 函数的起始地址，有三种方式，nm、readelf、objdump工具

这里只介绍 nm 和 readelf 两种工具。

[user]$ nm netctrl.ko | grep memory_init
000000000000107c T memory_init
[user]$ readelf -s netctrl.ko | grep memory_init
162: 000000000000107c 748 FUNC GLOBAL DEFAULT 1 memory_init

b、根据 0x124/0x2ec 偏移地址定位到代码行地址

memory_init 函数起始地址为 000000000000107c
memory_init+0x124/0x2ec [netctrl]异常代码对应的地址为：

0x11A0 = 0x000000000000107c + 0x124

c、使用addr2line工具找到异常代码所在文件名和行号

memory_init 函数源码为：

int memory_init(void)
{
	V_TEMP_LISTS *pTempV  = NULL;/*临时白名单*/
	
	pIpv4 = (V4_LISTS*)kmalloc(g_max_list_num * sizeof(V4_LISTS), GFP_KERNEL);
	if (!pIpv4)
		goto __error;
	memset(pIpv4, 0, g_max_list_num * sizeof(V4_LISTS));

	pIpv6 = (V6_LISTS*)kmalloc(g_max_list_num * sizeof(V6_LISTS), GFP_KERNEL);
	if (!pIpv6)
		goto __error;
/netfireware/comm.c:68 对应行：	memset(pIpv6, 0, g_max_list_num * sizeof(V6_LISTS));
/* addr2line工具定位为此行，确定是此行分配了 pTempV 的空间， g_max_list_num 为64 */
	pTempV = (V_TEMP_LISTS*)kmalloc(g_max_list_num * sizeof(V_TEMP_LISTS), GFP_KERNEL);
	if (!pTempV)
		goto __error;
	memset(pTempV, 0, g_max_list_num * sizeof(V_TEMP_LISTS));

	pIcmpV = (V_ICMP_LISTS*)kmalloc(g_max_list_num * sizeof(V_ICMP_LISTS), GFP_KERNEL);
	if (!pIcmpV)
		goto __error;
	memset(pIcmpV, 0, g_max_list_num * sizeof(V_ICMP_LISTS));

	pMac = (MAC_LISTS*)kmalloc(g_max_list_num * sizeof(MAC_LISTS), GFP_KERNEL);
	if (!pMac)
		goto __error;
	memset(pMac, 0, g_max_list_num * sizeof(MAC_LISTS));
    
	return 0;
}

aarch64-linux-gnu-rk3588-v1-addr2line -C -f -e netctrl.ko 0x11a0 memory_init

[user]$ aarch64-linux-gnu-rk3588-v1-addr2line -C -f -e netctrl.ko 0x11a0 memory_init
kmalloc
/home/233410/d3u3588/rklinux/src/./include/linux/slab.h:557

上面可以定位到是 memory_init 函数中的 kmalloc 行，但是 memory_init 函数有多个 kmalloc；我们希望定位具体哪个 kmalloc 函数；找 0x11a0 地址前24字节地址即可。

[user]$ aarch64-linux-gnu-rk3588-v1-addr2line -C -f -e netctrl.ko 0x1188 memory_init
memory_init
/home/233410/d3u3588/netfireware/comm.c:68