Кодот од 1980-тите го поттикнува модерната сигурност – и грешките што сеуште ги прави

Кодот за некои Erlang/OTP модули е постар од повеќето модерни младински програмери. Овие датотеки се вистинските дигитални патријарси. Со децении, тие се увериле дека банкарските трансакции, телефонските мрежи и системите за пораки функционираат правилно. Одлучивме да погледнеме под капакот на овој долгогодишен јазик за да видиме што точно лежи зад линијата на која милиони корисници се потпираат денес. Воведување Пред да продолжиме со дискусијата за предупредувањата, би сакал да кажам неколку зборови за проектот. Патувањето на Ерланг започнало во 1986 година во една од лабораториите на Ериксон. Џо Армстронг експериментирал со Пролог додека се обидувал да изгради телефонска програма. е програмски јазик дизајниран за системи со толеранција на грешки каде што неуспехот е неприфатлив. Размислете за телефонски прекинувач каде што пропуштениот повик се смета за итен случај, или банкарска трансакција која мора да помине без разлика што. Ерлан Ерланг оди рака под рака со , рамка која обезбедува моќни алатки, шаблони и однесувања за градење на дистрибуирани, толерантни на грешки апликации. Овој вграден алатен сет овозможува системи напишани со него да работат континуирано со години без да треба да престанат. Отворена телекомуникациска платформа (OTP) Ние го изградивме проектот по овие Ние го проверивме на Користење на гранки и на Ние не се соочи со проблеми со изградба на проектот, па kudos на програмерите. Инструкции maint-28 ПВС-Студио анализатор Визуелен студиски код Статијата вклучува само предупредувања на високо и средно ниво. Тоа го заклучува нашето воведување. Сега, да преминеме на предупредувањата. Ние ќе ги поделиме во три категории: логичка грешка ; критична грешка ; Грешки во меморијата. Логички грешки Fragment N1 Предупредувањето на ПВС-Студио: Постојат идентични под-експресии '(!esock_is_integer((env), (argv[3])))' на левата и десната страна на операторот на 'annoo. Во 501 година prim_socket_nif.c 603 static ERL_NIF_TERM nif_sendfile(ErlNifEnv* env, int argc, const ERL_NIF_TERM argv[]) { .... BOOLEAN_T a2ok; if ((! (a2ok = GET_INT64(env, argv[2], &offset64))) || (! GET_UINT64(env, argv[3], &count64u))) { if ((! IS_INTEGER(env, argv[3])) || (! IS_INTEGER(env, argv[3]))) return enif_make_badarg(env); if (! a2ok) return esock_make_error_integer_range(env, argv[2]); else return esock_make_error_integer_range(env, argv[3]); } .... } Внесете го режимот за целосен екран Во кодот, програмерите сакале да ги конвертираат третиот и четвртиот аргумент во 64-битни типови (потпишаните и непотпишаните, респективно). За фиксниот код: .... if ((! IS_INTEGER(env, argv[2])) || (! IS_INTEGER(env, argv[3]))) return enif_make_badarg(env); .... Enter fullscreen mode Exit fullscreen mode Fragment N2 Предупредувањето на ПВС-Студио: Постојат идентични под-експресии 'n->type == ycf_node_type_on_save_yield_state_code' на левата и десната страна на операторот 'хенд' . Во 501 година ицф_node.ц 218 static void uniqify_local_vars_in_node(ycf_node* n) { if (n->type == ycf_node_type_code_scope) { uniqify_local_vars_in_scope(&n->u.code_scope); } else if(n->type == ycf_node_type_on_restore_yield_state_code) { uniqify_local_vars_in_scope(&n->u.special_code_block .code.if_statement->u.code_scope); } else if (n->type == ycf_node_type_on_save_yield_state_code || n->type == ycf_node_type_on_save_yield_state_code || n->type == ycf_node_type_on_destroy_state_code || n->type == ycf_node_type_on_return_code || n->type == ycf_node_type_on_destroy_state_or_return_code) { uniqify_local_vars_in_scope(&n->u.special_code_block .code.if_statement->u.code_scope); } .... } Enter fullscreen mode Exit fullscreen mode Еве уште еден интересен случај на копија-паста. функција, која рекурзивно ги обработува јазлите на дрвото и наоѓа области на видливост со локални променливи. Потоа ја нарекува функцијата за обединување на променливите имиња за секоја од овие области. Покрај тоа, на состојбата се дуплира по оператор на. uniqify_local_vars_in_node else if n->type == ycf_node_type_on_save_yield_state_code || За жал, немам соодветна поправка за овој фрагмент. Судејќи по синџирот на споредба, вредностите од следната листа се сортирани во редоследот по кој се декларирани: typedef enum { .... ycf_node_type_on_save_yield_state_code, ycf_node_type_on_restore_yield_state_code, ycf_node_type_on_destroy_state_code, ycf_node_type_on_return_code, ycf_node_type_on_destroy_state_or_return_code } ycf_node_type; Enter fullscreen mode Exit fullscreen mode Сепак, на постојано се проверува во претходниот Значи, претпоставувам дека постои двојна проверка тука, и можеме да ја избришеме. ycf_node_type_on_restore_yield_state_code else if Fragment N3 The PVS-Studio warning: Можни типови во правописот на претходно дефинирано име на макро. „Макрото е слично на“ „ . V1040 WIN_32 WIN32 Дрв.дрв.дрв.дрв 13506 static int tcp_send_error(tcp_descriptor* desc, int err) { /* EPIPE errors usually occur in one of three ways: * 1. We write to a socket when we've already shutdown() the write side. * On Windows the error returned for this is ESHUTDOWN * rather than EPIPE. * 2. The TCP peer sends us an RST through no fault of our own (perhaps * by aborting the connection using SO_LINGER) and we then attempt * to write to the socket. On Linux and Windows we would actually * receive an ECONNRESET error for this, but on the BSDs, Darwin, * Illumos and presumably Solaris, it's an EPIPE. * 3. We cause the TCP peer to send us an RST by writing to a socket * after we receive a FIN from them. Our first write will be * successful, but if the they have closed the connection (rather * than just shutting down the write side of it) this will cause their * OS to send us an RST. Then, when we attempt to write to the socket * a second time, we will get an EPIPE error. On Windows we get an * ECONNABORTED. * * What we are going to do here is to treat all EPIPE messages that aren't * of type 1 as ECONNRESET errors. This will allow users who have the * show_econnreset socket option enabled to receive {error, econnreset} on * both send and recv operations to indicate that an RST * has been received. */ #ifdef __WIN_32__ if (err == ECONNABORTED) err = ECONNRESET; #endif if (err == EPIPE && !(desc->tcp_add_flags & TCP_ADDF_SHUTDOWN_WR_DONE)) err = ECONNRESET; return tcp_send_or_shutdown_error(desc, err); } Enter fullscreen mode Exit fullscreen mode Ова е прилично необичен случај на проверка дали проектот компилира под Windows. Erlang има други проверки на Windows ([ ], [ ] , , [ ], итн.), но ова е уникатен. Ова изгледа многу како едноставен типо (најверојатно, тоа треба да биде ) на 1 2 3 __WIN32__ Но, зошто ова е случај? од љубопитност, јас се обидов да Погледнете што може да се најде, еве ги резултатите: "__WIN_32__" Како што можете да видите, речиси нема резултати.Смешно е дека една од линковите води до датотеката што ја гледаме . I grepped through the project to find no similar macro definitions. I also thought it might be built into some compiler, like MinGW. Unfortunately, the По обидот да се разбере целта на макросот, верувам дека овој код е дефектен. Дебиан извори Експериментот Како поправка, препорачувам да го користите проверката што ја најдов порано во други делови од проектот: static int tcp_send_error(tcp_descriptor* desc, int err) { .... #if defined(__WIN32__) || defined(_WIN32) || defined(_WIN32_) if (err == ECONNABORTED) err = ECONNRESET; #endif .... } Внесете го режимот за целосен екран Fragment N4 The PVS-Studio warning: Оперативната логика на кодот не одговара на неговото форматирање. Втората изјава секогаш ќе се извршува. В640 Дијализатор.ц 246 int main(int argc, char** argv) { .... if (argc > 2 && strcmp(argv[1], "+P") == 0) { PUSH2("+P", argv[2]); argc--, argv++; argc--, argv++; } else PUSH2("+P", "1000000"); .... } Enter fullscreen mode Exit fullscreen mode Еве еден интересен пример за заедничка грешка во кодирањето која може да биде тешко да се забележи подоцна. Структура на: PUSH2 #define QUOTE(s) s #define PUSH(s) eargv[eargc++] = QUOTE(s) #define PUSH2(s, t) PUSH(s); PUSH(t) Внесете го режимот за целосен екран Uh-huh, it's a macro that expands into two constructs. Let's expand the code as a preprocessor would: int main(int argc, char** argv) { .... if (argc > 2 && strcmp(argv[1], "+P") == 0) { eargv[eargc++] = "+P"; eargv[eargc++] = argv[2]; argc--, argv++; argc--, argv++; } else eargv[eargc++] = "+P"; eargv[eargc++] = "1000000"; .... } Внесете го режимот за целосен екран Како резултат на тоа, ако проверката се оценува на , само првата задача ќе биде условно извршена, додека втората секогаш ќе се случи по гранката. false Напишување и користење на макроси . The perfect solution would be to get rid of them, but let's settle for a less radical fix. Developers usually use the конструираат кога треба да комбинираат неколку акции во една во макросот. Привлекување на бубачки do {...} while (0) #define PUSH2(s, t) do { PUSH(s); PUSH(t); } while (0) Внесете го режимот за целосен екран Fragment N5 Предупредувањето на ПВС-Студио: Условието "i > = 0" на лапката е секогаш вистина. Во 654 година wxe_return.cpp 236 за враќање ERL_NIF_TERM wxeReturn::make_array_objs(wxAuiPaneInfoArray& arr, WxeApp *app, const char *cname) { ERL_NIF_TERM head, tail; ERL_NIF_TERM class_name = enif_make_atom(env, cname); tail = enif_make_list(env, 0); for (unsigned int i = arr.GetCount() - 1; i >= 0; i--) { head = make_ref(app->getRef((void *) &arr.Item(i),memenv), class_name); tail = enif_make_list_cell(env, head, tail); } return tail; } Внесете го режимот за целосен екран Погледнете го на лук, обрнувајќи посебно внимание на неговата состојба. Променливата индукција е од тип со опсег на вредност од , лакот станува бесконечен. По лакот се итерира со Променливата станува еднаква на како резултат на намалувањето, и кругот продолжува. for i unsigned int [0; UINT_MAX] i == 0 UINT_MAX Да го поправиме кодот како што следува: for (int64_t i = arr.GetCount() - 1; i >= 0; i--) { .... } Внесете го режимот за целосен екран Similar warnings: V654 Условите 'i >= 0' на лапката секогаш се вистинити. wxe_return.cpp 248 V654 Условите 'i >= 0' на лапката секогаш се вистинити. wxe_return.cpp 260 Fragment N6 The PVS-Studio warning: Употребата на "ако (А) {...} инаку ако (А) {...}" шема е откриена. Постои веројатност за логичка грешка. Во 517 erl_bif_info.c 2903 BIF_RETTYPE system_info_1(BIF_ALIST_1) { .... if (is_tuple(BIF_ARG_1)) { // L2778 .... } else if (BIF_ARG_1 == am_scheduler_id) { // L2782 .... } .... else if (BIF_ARG_1 == am_garbage_collection) { // L2903 .... } else if (BIF_ARG_1 == am_fullsweep_after) { // L2921 .... } else if (BIF_ARG_1 == am_garbage_collection) { // L3053 .... } else if (BIF_ARG_1 == am_instruction_counts) { // L3056 .... } .... else if (ERTS_IS_ATOM_STR("halt_flush_timeout", BIF_ARG_1)) { // L3552 .... } } Внесете го режимот за целосен екран Анализаторот открил неколку гранки со идентични проверки во функција која содржи огромен број на Изјавите – приближно Секој од нив, сепак, има различна логика: и Со оглед на бројот на гранки и јазот од 150 линии помеѓу дупликатите, не е изненадувачки што ова би можело да се случи.Статичката анализа помага да се спречат такви случаи. if-else if 800 долги линии Прва проверка Втора проверка Fragment N7 Предупредувањето на ПВС-Студио: Дел од условниот израз е секогаш лажен: (аритет == 0). Во 560 година Бифок 3145 BIF_RETTYPE delete_element_2(BIF_ALIST_3) { .... ptr = tuple_val(BIF_ARG_2); arity = arityval(*ptr); ix = signed_val(BIF_ARG_1); if ((ix arity) || (arity == 0)) { BIF_ERROR(BIF_P, BADARG); } .... } Enter fullscreen mode Exit fullscreen mode Тука имаме пример кој вклучува математика. аналитичарот нè информира дека последниот Потврдата е секогаш лажна, зошто? arity == 0 Ако протокот на контрола достигне точка каде што оваа подекспресија се оценува, ќе знаеме дека претходните две подекспресии се Исто така можеме да го научиме следното: false ix >= 1 ix = 1 arity I'll also leave fixing this code to the developers, since my only suggestion is to remove the condition. Critical errors Fragment N8 ПВС-Студио предупредува дека Вредноста на индексот 'prefix_len' може да достигне 262. Во 557 година ел_алоц_util.ц 5375 Вредноста на индексот 'prefix_len' може да достигне 262. Во 557 година ел_алоц_util.ц 5378 Вредноста на индексот 'prefix_len' може да достигне 262. Во 557 година erl_alloc_util.c 5381 #define MAX_ATOM_CHARACTERS 255 static void make_name_atoms(Allctr_t *allctr) { char alloc[] = "alloc"; char realloc[] = "realloc"; char free[] = "free"; char buf[MAX_ATOM_CHARACTERS]; size_t prefix_len = sys_strlen(allctr->name_prefix); if (prefix_len > MAX_ATOM_CHARACTERS + sizeof(realloc) - 1) erts_exit(ERTS_ERROR_EXIT, "Too long allocator name: %salloc\n" allctr->name_prefix); sys_memcpy((void *) buf, (void *) allctr->name_prefix, prefix_len); sys_memcpy((void *) &buf[prefix_len], (void *) alloc, sizeof(alloc) - 1); allctr->name.alloc = am_atom_put(buf, prefix_len + sizeof(alloc) - 1); sys_memcpy((void *) &buf[prefix_len], (void *) realloc, sizeof(realloc) - 1); allctr->name.realloc = am_atom_put(buf, prefix_len + sizeof(realloc) - 1); sys_memcpy((void *) &buf[prefix_len], (void *) free, sizeof(free) - 1); allctr->name.free = am_atom_put(buf, prefix_len + sizeof(free) - 1); } Внесете го режимот за целосен екран We have a function that generates names for allocation and deallocation functions based on the prefix passed to it. A 255-byte buffer is used to generate them. Judging by the function contents, there will be no null terminator in the generated buffer, since ја поминува вкупната големина на генерираниот синџир. am_atom_put Првото нешто што го направија програмерите беше да ја пресметаат големината на префикот. and the length of the string (the longest postfix), the function is called. MAX_ATOM_CHARACTERS realloc noreturn Потоа го копирале префиксот на буферот, го додале постфиксот и го пренеле низа на буферот. Програмерите ги извршија сите овие активности последователно за сите постфикси: , и . am_atom_put alloc realloc free Можете ли да го забележите уловот? Почетокот на проверката за враќање беше извршен погрешно. Буферот мора да има доволно простор за да го напише најдолгиот постфикс, што е седум знаци. Ако низата на префикс е долга помеѓу 256 и 262 знаци, порано враќање не се случува, па функцијата го надминува буферот. Оваа операција има неопределено однесување. sys_memcpy Претпоставувајќи дека function works with strings no longer than , let's fix the code as follows: am_atom_put MAX_ATOM_CHARACTERS if (prefix_len > MAX_ATOM_CHARACTERS - sizeof(realloc) + 1) Внесете го режимот за целосен екран Сега, максималната должина на префикот е 248 знаци. Кога ќе го напишете максималниот постфикс, нема да се случи преливање. Слични предупредувања : V557 е можно превртување на матрицата. Вредноста на индексот "i" може да достигне 40. ycf_lexer.c 493 V557 е можно превртување на матрицата. Вредноста на индексот 'n' може да достигне 16. erl_call.c 1663 Fragment N9 Сакам да го воведам овој пример на необичен начин. Прво, ајде да ја разгледаме оваа функција: static const char* event_state_flag_to_str(EventStateFlags f, const char *buff, int len) { switch ((int)f) { case ERTS_EV_FLAG_CLEAR: return "CLEAR"; case ERTS_EV_FLAG_USED: return "USED"; /* other cases that return string literals */ default: snprintf((char *)buff, len, "ERROR(%d)", f); return buff; } } Внесете го режимот за целосен екран на Функцијата го конвертира enumeration to a string. For non- одделенијата, враќа буквалност на низа. Во спротивно, функцијата создава низа во обезбедениот буфер и враќа укажувач на него. Забележете како точно го прави ова: буферот принудно го отфрла констенитетот. Според стандардот C, ова е дозволено само ако изворниот буфер не е прогласен како (C11 , C23 ). event_state_flag_to_str EventStateFlags default switch const 6.3 од 3.6 6.7.4.1.7 Дали е тоа навистина случај?Да погледнеме на повикувачката точка: static ERTS_INLINE void print_flags(erts_dsprintf_buf_t *dsbufp, EventStateFlags f) { const char buff[64]; if (f & ERTS_EV_FLAG_WANT_ERROR) { erts_dsprintf(dsbufp, "WANTERR|"); f &= ~ERTS_EV_FLAG_WANT_ERROR; } erts_dsprintf(dsbufp, "%s", event_state_flag_to_str(f, buff, sizeof(buff))); } Внесете го режимот за целосен екран Функцијата во прашање е повикана со поминување на константниот буфер како вториот аргумент. За жал, добиваме неопределено однесување. Оваа грешка ја пронајдовме користејќи го аналитичарот, но издаде збунувачко предупредување: Неиницијализиран буфер 'buff' се користи. Размислете за проверка на вториот вистински аргумент на функцијата 'event_state_flag_to_str'. В614 ERL_CHECK_Io.C 283 Let's fix the code by removing the constness from the buffer: static ERTS_INLINE void print_flags(erts_dsprintf_buf_t *dsbufp, EventStateFlags f) { char buff[64]; if (f & ERTS_EV_FLAG_WANT_ERROR) { erts_dsprintf(dsbufp, "WANTERR|"); f &= ~ERTS_EV_FLAG_WANT_ERROR; } erts_dsprintf(dsbufp, "%s", event_state_flag_to_str(f, buff, sizeof(buff))); } Внесете го режимот за целосен екран Исто така препорачуваме да се смени функција потпис, така што параметар може да земе Ова го прави јасно дека функцијата може да го модифицира буферот што му е пренесен.Ние нема да се скрши многу код во процесот, бидејќи функцијата постои само во компилираниот датотека и е означен како . event_state_flag_to_str char* static Fragment N10 The PVS-Studio warning: Неинициализираниот член на класата "a" се користи при инициализирање на базата на класата "BeamAssemblerCommon". V1050 Ѓорѓиќ Ѓорѓиќ 87 class BeamAssemblerCommon : public ErrorHandler { BaseAssembler &assembler; protected: BeamAssemblerCommon(BaseAssembler &assembler); .... }; struct BeamAssembler : public BeamAssemblerCommon { BeamAssembler() : BeamAssemblerCommon(a) { /* .... */ } protected: a64::Assembler a; .... }; Enter fullscreen mode Exit fullscreen mode Овој фрагмент содржи мала класна хиерархија каде што референцата на не-статичка членска функција на дериватната класа, , се пренесува на конструкторот на основната класа, Оваа операција нема да предизвика никакви проблеми се додека конструкторот на основна класа не комуницира со оваа функција член. Зошто? Животниот век на објектот од дериватна класа започнува кога е извршен потребниот иницијализатор во листата за иницијализација или, ако нема иницијализатор, кога протокот на контрола влегува во телото на конструкторот. BeamAssembler BeamAssemblerCommon Имајќи ги предвид овие информации, ајде да погледнеме конструкторот за основна класа. Не го користи овој објект, нели? BeamAssemblerCommon::BeamAssemblerCommon(BaseAssembler &assembler_) : assembler(assembler_), .... { .... #ifdef DEBUG assembler.addDiagnosticOptions(DiagnosticOptions::kValidateAssembler); #endif assembler.addEncodingOptions(EncodingOptions::kOptimizeForSize | EncodingOptions::kOptimizedAlign); .... } Внесете го режимот за целосен екран Nope :) A non-static member function is called on an object of a derived class via a reference when its lifetime has not yet begun. Again, we get undefined behavior. Исто така ми е тешко да предложам поправка во овој случај, па тоа ќе го оставам на програмерите. Грешки во меморијата Fragment N11 Предупредувањето на ПВС-Студио: The 'free' function is called twice for deallocation of the same memory space. V586 erl_call.c 668 int main(int argc, char *argv[]) { int fd; char *p = NULL; ei_cnode ec; .... int i = 0; ei_x_buff reply; .... if (ei_rpc(&ec, fd, "c", "c", p, i, &reply) < 0) { free(p); ei_x_free(&reply); fprintf(stderr,"erl_call: can't compile file %s\n", fname); } free(p); /* FIXME complete this code FIXME print out error message as term if (!erl_match(erl_format("{ok,_}"), reply)) { fprintf(stderr,"erl_call: compiler errors\n"); } */ ei_x_free(&reply); .... } Внесете го режимот за целосен екран Judging by the name, is a . A negative number is returned if the operation fails. If the remote call fails, some resources are cleaned up. The Поинтер е пренесен на function and an error is logged to . Next, regardless of the function call result, the pointer is passed to Паметта се ослободува двапати. ei_rpc Оддалечена процедура за повик p free stderr free Поправка е прилично едноставна: или да го запрете извршувањето на програмата или да ги поставите ослободените покажувачи на нула. if (ei_rpc(&ec, fd, "c", "c", p, i, &reply) < 0) { free(p); ei_x_free(&reply); fprintf(stderr,"erl_call: can't compile file %s\n", fname); return 1; } free(p); Внесете го режимот за целосен екран Fragment N12 The PVS-Studio warning: Појасникот "pkey" беше искористен пред да биде проверен против nullptr. Во 595 година pkey.c 581 static int get_pkey_public_key(ErlNifEnv *env, const ERL_NIF_TERM argv[], int algorithm_arg_num, int key_arg_num, EVP_PKEY **pkey, ERL_NIF_TERM *err_return) { .... if (enif_is_map(env, argv[key_arg_num])) { password = get_key_password(env, argv[key_arg_num]); *pkey = ENGINE_load_public_key(e, id, NULL, password); if (!pkey) assign_goto(*err_return, err, EXCP_BADARG_N(env, key_arg_num, "Couldn't get public key from engine")); } /* other branches */ ret = 1; done: .... return ret; err: .... *pkey = NULL; ret = 0; goto done; } Внесете го режимот за целосен екран We have quite an interesting code fragment here. The се обидува да го извлече јавниот клуч до петтиот параметар. if successful and if not. In the latter case, the public key is zeroed as well. Функција 1 0 The analyzer warns that, in one of the function branches, the покажувачот е дереференциран пред да биде проверен за валидност. Сепак, другите гранки не изгледаат да имаат такви проверки. Можеме да заклучиме дека функцијата има следниот договор: " parameter must never be equal to a Можеме да го потврдиме ова со пребарување за повици до оваа функција во истата датотека ([ ], [ ], [ ]) – променливата адреса се пренесува насекаде. pkey pkey nullptr 1 2 3 Всушност, програмерите имаа намера да се справат со погрешен резултат на Функција со скокање на Сепак, тие направија типографија, заборавајќи да стават ѕвездичка пред operator. A modern compiler will оваа проверка на ослободување. Како резултат на тоа, функцијата ќе се врати , и нул покажувачот ќе заврши во петтиот параметар. ENGINE_load_public_key err ! optimize away 1 Ајде да ја поправиме проверката: .... *pkey = ENGINE_load_public_key(e, id, NULL, password); if (!*pkey) assign_goto(*err_return, err, EXCP_BADARG_N(env, key_arg_num, "Couldn't get public key from engine")); .... Enter fullscreen mode Exit fullscreen mode Fragment N13 We often receive messages saying that the analyzer warns about passing a null pointer to . After all, the standard states that nothing terrible will happen. We even wrote an За сличен случај. free статија Да, тоа е во ред, но таков код е веројатно сомнителен. Тоа ни помогна да најдеме интересна фрлање на меморија во кодот. The PVS-Studio warning: The null pointer is passed into 'free' function. Inspect the first argument. V575 erl_misc_utils.c 264 void erts_cpu_info_destroy(erts_cpu_info_t *cpuinfo) { if (cpuinfo) { cpuinfo->configured = 0; cpuinfo->online = 0; cpuinfo->available = 0; #ifdef HAVE_PSET_INFO if (cpuinfo->cpuids) free(cpuinfo->cpuids); #endif cpuinfo->topology_size = 0; if (cpuinfo->topology) { cpuinfo->topology = NULL; free(cpuinfo->topology); } free(cpuinfo); } } Enter fullscreen mode Exit fullscreen mode Во овој дел, на Поинтер е експлицитно поставен на before calling Како резултат на тоа, операцијата за ослободување на меморијата е бесмислена, бидејќи does nothing. This results in memory leaks because the original memory block that pointed to is never freed. cpuinfo->topology NULL free free(NULL) cpuinfo->topology We can fix the issue by swapping the operations: if (cpuinfo->topology) { free(cpuinfo->topology); cpuinfo->topology = NULL; } Внесете го режимот за целосен екран Fragment N14 Предупредувањето на ПВС-Студио: Функцијата беше напуштена без да се ослободи покажувачот за влез. Во 773 година Ѓорѓиќ Ѓорѓиќ 88 typedef struct _wxe_glc { wxGLCanvas *canvas; wxGLContext *context; } wxe_glc; void setActiveGL(wxeMemEnv *memenv, ErlNifPid caller, wxGLCanvas *canvas, wxGLContext *context) { ErlNifUInt64 callId = wxe_make_hash(memenv->tmp_env, &caller); wxe_glc * entry = glc[callId]; gl_active_index = callId; gl_active_pid = caller; if (!entry) { entry = (wxe_glc *) malloc(sizeof(wxe_glc)); entry->canvas = NULL; entry->context = NULL; } if (entry->canvas == canvas && entry->context == context) return; entry->canvas = canvas; entry->context = context; glc[gl_active_index] = entry; .... } Внесете го режимот за целосен екран In the function, the pointer is declared and initialized via an array element. If this element is a null pointer, memory is allocated using Следно, споредбите се споредуваат.Ако се оценува на , ќе се случи рано враќање. Меѓутоа, ако се случи динамичко доделување, меморијата нема да се ослободи. setActiveGL entry malloc true Yes, such a situation is rather rare and unlikely to happen, because it requires a whole series of events: кога функцијата е повикана, нула укажувачи се пренесуваат како третиот и четвртиот аргументи. null[callId] содржи нул поентер. Сепак, можеме да бидеме сигурни дека никогаш нема да се случи излез, дури и теоретски. ErlNifUInt64 callId = wxe_make_hash(memenv->tmp_env, &caller); wxe_glc * entry = glc[callId]; gl_active_index = callId; gl_active_pid = caller; bool new_alloc = false; if (!entry) { entry = (wxe_glc *) malloc(sizeof(wxe_glc)); entry->canvas = NULL; entry->context = NULL; new_alloc = true; } if (entry->canvas == canvas && entry->context == context) { if (new_alloc) { free(entry); } return; } .... Enter fullscreen mode Exit fullscreen mode Слични предупредувања : V773 Функцијата беше напуштена без затворање на датотеката наведена со рачката "f". V773 The 'erl_errno_p' pointer was assigned values twice without releasing the memory. A memory leak is possible. ei_pthreads.c 195 V773 The function was exited without closing the file referenced by the 'fp' handle. A resource leak is possible. cpu_sup.c 433 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1300 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1330 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1663 V773 Исклучокот беше фрлен без да се ослободи покажувачот на "податоците". можен е фрлање на меморијата. wxe_wrapper_4.cpp 1690 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1715 V773 Исклучокот беше фрлен без да се ослободи поентот „алфа“. можен е фрлање на меморијата. wxe_wrapper_4.cpp 1718 V773 Исклучокот беше фрлен без да се ослободи покажувачот на "податоците". можен е фрлање на меморијата. wxe_wrapper_4.cpp 1747 V773 The exception was thrown without releasing the 'alpha' pointer. A memory leak is possible. wxe_wrapper_4.cpp 1750 V773 Исклучокот беше фрлен без да се ослободи поентот „алфа“. можен е фрлање на меморијата. wxe_wrapper_4.cpp 2680 V773 Исклучокот беше фрлен без да се ослободи покажувачот на "податоците". можен е фрлање на меморијата. wxe_wrapper_4.cpp 2715 V773 The exception was thrown without releasing the 'data' pointer. A memory leak is possible. wxe_wrapper_4.cpp 2733 Fragment N15 Предупредувањето на ПВС-Студио: realloc() possible leak: кога realloc() не успева во доделувањето на меморијата, оригиналниот покажувач 'outbuf_base' е изгубен. Б701 run_erl.c 1324 static void outbuf_append(const char* buf, int n) { .... /* * Allocate a larger buffer if we still cannot fit the data. */ if (outbuf_base+outbuf_total < outbuf_in+n) { int size = outbuf_in - outbuf_out; outbuf_total = size+n; outbuf_base = realloc(outbuf_base, outbuf_total); outbuf_out = outbuf_base; outbuf_in = outbuf_base + size; } .... } Enter fullscreen mode Exit fullscreen mode Постои трик модел со функција, каде што оригиналниот покажувач веднаш е надпишан со вредноста на враќање. realloc The function takes the buffer for reallocation as its first argument and the new buffer size as its second argument. If the operation is successful, the function will return a pointer to the newly allocated memory. The memory passed as the first argument becomes , even if only a simple memory block expansion has occurred. If the operation fails, the function returns a . The memory passed as the first argument remains . invalid null pointer untouched Значи, ако веднаш го пренапишеме оригиналниот покажувач со повик за Ќе добиеме фрлање на меморијата. realloc Let's fix the code as follows: static void outbuf_append(const char* buf, int n) { .... /* * Allocate a larger buffer if we still cannot fit the data. */ if (outbuf_base + outbuf_total < outbuf_in + n) { int size = outbuf_in - outbuf_out; outbuf_total = size+n; char *tmp = realloc(outbuf_base, outbuf_total); if (!tmp) { /* somehow handle this scenario * the `outbuf_base` buffer here is still valid */ } outbuf_base = tmp; outbuf_out = outbuf_base; outbuf_in = outbuf_base + size; } .... } Внесете го режимот за целосен екран Во фиксниот пример, исто така, треба да се справиме со ситуацијата во која Ова може да биде исклучок фрлање, обид да се додели буфер со различна големина, и така натаму. realloc Fragment N16 The PVS-Studio warning: The 'end' pointer in the 'end - mm->sua.top' expression equals nullptr. The resulting value is senseless and it should not be used. Во 769 година ел_mmap.ц 2411 static void add_free_desc_area(ErtsMemMapper* mm, char *start, char *end) { ERTS_MMAP_ASSERT(end == (void *) 0 || end > start); if (sizeof(ErtsFreeSegDesc) sua.top` always will * compare as larger than all segment pointers * into the super carrier... */ mm->sua.top -= ERTS_PAGEALIGNED_SIZE; mm->size.supercarrier.used.total += ERTS_PAGEALIGNED_SIZE; #ifdef ERTS_HAVE_OS_PHYSICAL_MEMORY_RESERVATION if (!virtual_map || os_reserve_physical(mm->sua.top, ERTS_PAGEALIGNED_SIZE)) #endif add_free_desc_area(mm, mm->sua.top, end); mm->desc.reserved += (end - mm->sua.top) / sizeof(ErtsFreeSegDesc); } .... } Внесете го режимот за целосен екран The analyzer has detected suspicious address arithmetic. Let's see what's wrong here. Внесете ја кодовата гранка каде is indeed a null pointer. The data member is also a pointer, but we don't know its value yet. According to the C standard, the behavior of pointers that differ is defined only when they both point to elements of the same array (C11 • C23 Потоа, однесувањето на оваа операција е недефинирано, што не е добро. end mm->sua.top 6.5.6.8 5.7 Десет I was wondering what happens in the функција на . add_free_desc_area static void add_free_desc_area(ErtsMemMapper* mm, char *start, char *end) { ERTS_MMAP_ASSERT(end == (void *) 0 || end > start); if (sizeof(ErtsFreeSegDesc) <= ((UWord) end) - ((UWord) start)) { .... } Внесете го режимот за целосен екран Pointer subtraction is also used here, but with a difference: first, the pointers are converted to numbers. This is implementation-defined behavior (C11 ; C23 ), што е многу подобро. 6.3.2.3.6 6.3.2.3.6 Unfortunately, I can't suggest a proper fix. The developers might want to take a look into this issue. Conclusion Како што се очекуваше со кој било голем проект кој има долга и настапна историја, пронајдовме различни грешки. Тие исто така се дел од проектот, сепак. Важно е да се има на ум дека наоѓањето на вакви проблеми во базата на кодови која е стара повеќе од три децении не е знак на слабост. Наместо тоа, тоа е доказ за неверојатната скала и долговечноста на кодот. Постојат милиони линии на код напишани од стотици програмери, а системот работи со години без рестартирање. Овој проект заслужува најдлабока почит, не затоа што е совршен, туку затоа што го издржа тестот на времето и ја докажа својата вистинска моќ. Благодарение на постојано развивање на модерните технологии, програмерите имаат моќни алатки на располагање за да ја подобрат доверливоста на кодот. На пример, статичните анализатори помагаат да се идентификуваат скриените грешки и потенцијалните слабости. Ве покануваме да го видите сами :) Можете да добиете пробна верзија на PVS-Studio анализатор . Овде