0x0 malloc_chunk 详解

在 Glibc 管理堆的过程中，无论一个内存块（chunk）是处于已分配状态还是处于空闲状态，Glibc 都统一使用一个名为 malloc_chunk 的结构体对其进行描述（可以将其理解为 chunk 的 header），下图简单描绘了 chunk 在堆中的一个布局：

而关于 malloc_chunk 的具体内容，我们可以查阅 Glibc源码中的 mallo.c 文件，如下所示：

struct malloc_chunk {

  INTERNAL_SIZE_T      mchunk_prev_size;  /* Size of previous chunk (if free).  */
  INTERNAL_SIZE_T      mchunk_size;       /* Size in bytes, including overhead. */

  struct malloc_chunk* fd;         /* double links -- used only if free. */
  struct malloc_chunk* bk;

  /* Only used for large blocks: pointer to next larger size.  */
  struct malloc_chunk* fd_nextsize; /* double links -- used only if free. */
  struct malloc_chunk* bk_nextsize;
};

malloc_chunk 中的各个字段对于已分配的块和空闲的块而言，是有着不同含义的：

• mchunk_prev_size: 如果当前 chunk 所相邻的上一个 chunk (地址较当前块低的)为空闲状态，该字段便会记录上个 chunk 的大小（包括 chunk 头）。若否，那该字段便会被上个 chunk 用来存储数据。
• mchunk_size: 该字段表示当前 chunk 的大小，在32位系统中，其大小最小不可低于16个字节，对齐则为8个字节。而在64位系统中，其大小不可低于32个字节，对其则为16个字节。
• fd: 在空闲的 chunk 中，指向前一个与之不相邻的空闲 chunk。在已分配的 chunk 中，该字段直接指向用户数据区。
• bk: （该字段只被空闲的 chunk 所使用）指向后一个与之不相邻的空闲 chunk。
• fd_nextsize: （该字段只会被空闲的 large chunk 所使用）指向前一个与当前 chunk 大小不同的空闲 large chunk。
• bk_nextsize: （该字段只会被空闲的 large chunk 所使用）指向后一个与当前 chunk 大小不同的空闲 large chunk.

空闲的 chunk 所对应的 malloc_chunk 结构体由 glibc 的内存管理器 ptmalloc 所管理，ptmalloc 会根据它们的大小和使用状态将它们保存到互不相关的链表中，而它们在堆中的结构大概是下面这样子的：

    chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Size of previous chunk, if unallocated (P clear)  |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    `head:' |             Size of chunk, in bytes                     |A|0|P|
      mem-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Forward pointer to next chunk in list             |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Back pointer to previous chunk in list            |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Unused space (may be 0 bytes long)                .
            .                                                               .
            .                                                               |
nextchunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
    `foot:' |             Size of chunk, in bytes                           |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Size of next chunk, in bytes                |A|0|0|
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

已分配的 chunk 在堆中的结构则是这个样子：

    chunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Size of previous chunk, if unallocated (P clear)  |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Size of chunk, in bytes                     |A|M|P|
      mem-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             User data starts here...                          .
            .                                                               .
            .             (malloc_usable_size() bytes)                      .
            .                                                               |
nextchunk-> +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             (size of chunk, but used for application data)    |
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+
            |             Size of next chunk, in bytes                |A|0|1|
            +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+

0x1 Unlink 简单概述

简单来说，unlink 就是一个被 ptmalloc 用来提取双向链表（指上文中通过 chunk 头管理堆中空闲 chunk 的链表）中空闲 chunk 的操作。它的基本流程如下图所示：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课