在安卓5(32 位) , 当 分配的内存大于 0x40000 时，jemalloc 会直接调用 mmap 来分配内存。mmap 会随机挑选一个起始地址进行映射（页对齐）。与 mmap 随机化的代码：

unsigned long arch_mmap_rnd(void)
{
    unsigned long rnd;

    rnd = get_random_long() & ((1UL << mmap_rnd_bits) - 1);

    return rnd << PAGE_SHIFT;
}

所以 rnd 的范围是 0- 0xff000 (要页对齐)，然后用于下面

static unsigned long mmap_base(unsigned long rnd)
{
    unsigned long gap = rlimit(RLIMIT_STACK);

    if (gap < MIN_GAP)
        gap = MIN_GAP;
    else if (gap > MAX_GAP)
        gap = MAX_GAP;

    return PAGE_ALIGN(TASK_SIZE - gap - rnd);
}

所以我们如果一次分配大量的页（在本文中是 0x100 ），由于在进程中的内存布局基本确定（大范围来看，比如 lib, heap, stack等），如果我们一次分配大量的页， 就会触发mmap ，然后尽管有 255 次的随机，但是我们分配的 0x100 页 足够大， 足以覆盖到其中的某个地址。 这就是那个 可预测的地址

我这样理解对吗？

Ox9A82

堆喷的尺寸其实就是试出来的 IE上精准分配的原理在于大量堆分配后低地址是对齐的 android就不是很清楚了