addr2line + objdump 定位crash问题

目录

背景

godbolt汇编工具

tombstone

ARM平台汇编知识

寄存器介绍

常见汇编指令

函数入参及传递返回值过程

入参顺序

变参函数

虚函数表

典型问题分析过程

Crash BackTrace

Addr2line

objdump

拓展

为什么SetCameraId函数地址偏移是+40(0x28)

参考

背景

最近在做项目的过程中，遇到了一个难搞定的crash问题，用addr2line还不能解决，需要借助objdump去解决。这里来做简单的分析记录一下。

godbolt汇编工具

godbolt可以在不同的编译器，将C/C++语言汇编成汇编语言。网站链接如下：Compiler Explorer

tombstone

当动态链接的可执行文件启动时，系统会注册多个信号处理程序，如果出现崩溃，这些处理程序会将一份基本崩溃转储信息写入 logcat，并将一个更详细的 Tombstone 文件写入 /data/tombstones/。具体而言，该文件包含崩溃进程中所有线程（而不只是捕捉到信号的线程）的堆栈轨迹、完整的内存映射，以及所有打开的文件描述符的列表。详细可以参考如下链接：https://source.android.com/docs/core/tests/debug?hl=zh-cn#debuggerd

ARM平台汇编知识

寄存器介绍

1. x0-x29为通用寄存器，运算、入参、返回值传递等过程都会用到。

AArch64 Register and Instruction Quick Start - CDOT Wiki

2. lr (Link Register)寄存器保存函数的返回地址，即一个函数调用完成后跳转回父函数，需要继续执行父函数中的指令的地址。有时也表示为x30寄存器。

3. sp (Stack Pointer)寄存器保存栈指针。

4. pc (Program Counter)寄存器保存当前正在执行的指令的地址，指令执行完后会更新为将要执行的下一条指令的地址。

5. pst (Program Status Register)程序状态寄存器，是一组用于记录处理器状态和控制处理器行为的位字段。

6. wzr/xzr ：32位/64位的零寄存器。

常见汇编指令

1. ldr (load register)：内存中的值保存到寄存器中，ldr w8, [sp, #12] 的作用是把栈上sp+12位置的值保存到w8寄存器中。

2. str (store register)：寄存器中的值保存到内存里，str wzr, [sp, #12] 的作用是把32位零寄存器的值写入到栈上sp+12的位置。

3. add：加法运算，add w8, w8, w9 的作用是把w8 + w9的计算结果储存到w8中。

4. sub：减法运算:，sub sp, sp, #16 的作用是把sp-16的计算结果储存到sp中（移动栈指针）。

5. ret：执行此指令将跳转回lr寄存器中保存的地址。

6. bl：将此指令的顺序下一条指令地址保存到lr寄存器，并跳转到指定地址。

7. mov：寄存器间的值移动，或存储立即数到寄存器。

下面来看一个简单例子：main调用函数FuncA，在FuncA中做了一个加法并返回结果，保存在main函数栈上的res中。（clang -O0)

逐条解释汇编代码：

FuncA():                              // @FuncA()sub     sp, sp, #16         //开辟FuncA()栈空间  str     wzr, [sp, #12]  //将0保存在，栈空间 sp+12 位置处mov     w8, #1          //将1存到w8寄存器中      // =0x1str     w8, [sp, #8]    //将w8寄存器中的值，保存在 sp+8 位置处ldr     w8, [sp, #12]  //将栈上内存位置为sp+12的值 ，读到w8中ldr     w9, [sp, #8]  //将栈上内存位置为sp+8的值 ，读到w9中add     w8, w8, w9    //w8寄存器中值 + w9寄存器中的值 保存到 w8中str     w8, [sp, #4]  //将w8寄存器中的值，保存到栈上 sp+4的位置上ldr     w0, [sp, #4]  //将栈上sp+4的值，保存到 w0寄存器中add     sp, sp, #16   //退栈，归还 FuncA函数栈空间ret                   //返回
main:                                   // @mainsub     sp, sp, #32           //开辟main函数栈空间stp     x29, x30, [sp, #16]  //存储栈帧操作 // 16-byte Folded Spilladd     x29, sp, #16    //将sp+16存储于x29中bl      FuncA()        //跳转到 FuncA()stur    w0, [x29, #-4] //将w0寄存器中的值读到 x29-4处mov     w0, wzrldp     x29, x30, [sp, #16]  // 16-byte Folded Reloadadd     sp, sp, #32     //归还 main函数栈空间ret

以下是main函数和FuncA的栈空间示意图，"mem align"是为内存对齐留空。

函数入参及传递返回值过程

以一个有10个参数的函数funcA为例：

前8个参数(1、2、4、8、16、32、64、128)按顺序使用w0-w7寄存器来入参，而p9 p10这两个参数是直接保存在main的栈空间上，接下来看下funcA是怎么使用这两个参数的：

funcA在越过自己的栈空间，把位于main函数栈空间上的p9和p10复制到自己的栈空间上，然后在后续流程中使用（据我测试，GCC编译器会省掉这个复制过程，直接越过自己的栈空间取值到寄存器做加法）。同时可以看到这里w0被用来传递返回值。

入参顺序

在上一个例子里，如果把入参部分改为：

在clang编译后入参部分就会变成：

FuncA中实际入参p1~p10的值是1~10，p1 + p2 + p3 = 3，p9 + p10 = 19

而在GCC编译器下，会先运算所有++，再逐个入参，也就是例子中所有实际入参的参数都是10，相应的执行结果也会变成p1 + p2 + p3 = 30，p9 + p10 = 20；如果把参数都改成d++，clang入参是0~9，GCC则是9~0；

关于编译器间的微妙差异，各位可到https://godbolt.org/自行深入探索。

变参函数

printf是最常用的变参函数，变参函数的入参过程和普通函数类似，优先使用x0-x7寄存器，超出部分保存在父函数的栈上。

变参函数一定会将x0-x7的值入栈，第九个及其他参数则会越过自身栈空间去父函数的栈上读取。变参函数需要严格检查入参个数，对于printf，它是通过format字符串来确认入参个数的。这也是为什么当printf中漏掉参数时会输出无效值，它可能是寄存器上的值，也可能是栈空间上的某个值，取决于它具体是第几个参数。

  下面是一个自定义变参函数示例：

#include <iostream>
#include <cstdarg>
using namespace std;int sum(int count, ...) {va_list ap;va_start(ap, count);int res = 0;for (int i = 0; i < count; i++) {res += va_arg(ap, int); // 需指定类型}va_end(ap);return res;
}int main(void)
{sum(30,1,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28,29,30);
}

虚函数表

当一个类或者其基类的定义中存在虚函数时，这个类的实例的内存起始位置会保存一个指针指向类域的虚函数表（即，这个类的所有对象共用同一张虚函数表）。虚函数表的数据结构类似一个数组，按函数的声明顺序保存了所有虚函数的函数起始地址。

虚函数表存储在ELF的只读数据段（.rodata）、虚函数存储在代码段（.text）。

典型问题分析过程

以空指针解引用问题为例。

Crash BackTrace

从 crash 信息可以初步看出问题类型是null pointer dereference，这种问题一般借助addr2line至少可以找到是哪个空指针被解引用。用 addr2line 去解析问题 daily 包的 symbol 库（在vendor组件中下载），可以初步看下挂在哪里。

Addr2line

# 代码根目录下
./prebuilts/clang/host/linux-x86/clang-r450784e/bin/llvm-addr2line -Cipfe com.qti.stats.aec.so 000000000004fefc

addr2line的解析结果会显示目标地址对应的代码文件和行号，000000000004fefc这个crash地址对应的位置如上图，这一行有三处显性的指针解引用：两处对pAECAlgo，一处对pAlgo。

但从代码逻辑上看，能够走到这里就足以证明这两个指针都不为空。可以用objdump反汇编symbol库，进一步定位crash的地方究竟是解引用了哪个空指针。

objdump

# objdump结果输出到res.txt供后续查看
./prebuilts/clang/host/linux-x86/clang-r450784e/bin/llvm-objdump -d com.qti.stats.aec.so > res.txt

更多objdump命令参数：objdump命令解析-CSDN博客

4fefc附近反汇编片段截取如下：

pAECAlgo的类型是AECAlgorithm_Internal*，这个指针被解引用两次：其中一次是pAECAlgo->cameraId做函数入参，从结构体定义可以确认pAECAlgo->cameraId的地址偏移是68，在上面的汇编片段里只有4fef4这一行存在68这个偏移，其功能是从x19+68取值保存在w1寄存器中，而在w1未被覆盖的情况下程序就在4ff00进行了跳转，所以4fef4这一行有可能是一个入参操作。有足够的证据表明，此处x19保存的应该就是pAECAlgo。继续向上追溯的话，可以发现这里的x19来自函数入参，与代码也能对应上。

再看4fef0这一行，这里从x19+40读取内存到x0，从结构体定义可以确定pAECAlgo->pAlgo的地址偏移是40，而它保存在x0寄存器可能是调用类函数时的隐藏入参this指针。因此此处x0保存的就是pAECAlgo->pAlgo。

4fef8行从x0直接无偏移取值到x8，通过查找pAECAlgo->pAlgo的类型定义可以确定pAECAlgo->pAlgo指向的实例，其所属的类中存在虚函数，因此这行取值一定会取到类域的虚函数表指针。即x8保存了虚函数表指针。

下一行4fefc在虚函数表指针上加偏移40读取内存到x9，结合代码可以推断这可能是setCameraId的虚函数地址，通过查定义setCameraId的确是一个虚函数，符合推断。

下一行程序跳转到x9所指位置，是一个函数跳转动作，程序将跳转到setCameraId中执行。

AECAlgorithm_Internal* pAECAlgo = reinterpret_cast<AECAlgorithm_Internal*>(pAECAlgorithm);
// crash line
pAECAlgo->pAlgo->setCameraId(pAECAlgo->cameraId);// struct defines
typedef struct /** @cond */ CHIAECAlgorithm /** @endcond */
{CDKResult (*AECProcess)(CHIAECAlgorithm* pCHIAECAlgorithm, const AECAlgoInputList* pInput, AECAlgoOutputList* pOutput);CDKResult (*AECGetParam)(CHIAECAlgorithm* pCHIAECAlgorithm, AECAlgoGetParam* pGetParam);CDKResult (*AECSetParam)(CHIAECAlgorithm* pCHIAECAlgorithm, const AECAlgoSetParamList* pSetParam);CDKResult (*AECGetFeatureCapability)(CHIAECAlgorithm* pCHIAECAlgorithm, UINT64* pFeatures);VOID      (*AECDestroy)(CHIAECAlgorithm* pCHIAECAlgorithm, const AECAlgoDestroyParamList* pDestroyParams);
} CHIAECAlgorithm;struct AECAlgorithm_Internal : public CHIAECAlgorithm
{IAECXControl* pAlgo;VOID*         pLogs;BOOL          bDepthAECEnable;BOOL          bIsWarmStartDone;UINT          instanceCount;UINT          cameraId;
};

问题JIRA中贴的分析：

pAlgo是指向CAECXControl实例的指针，这个类继承于基类IAECXControl，整个解引用过程如下：

从tombStone中可以看到pAlgo（保存在x0寄存器）指向的内存，也就是IAECXControl实例所在位置附近的情况：

拓展

为什么SetCameraId函数地址偏移是+40(0x28)

单从.h文件里的声明来看，SetCameraId是第五个虚函数，在虚函数表中的偏移应该是 4 * 8 = 32

这个问题涉及到deleting destructor，由于这个类涉及继承，子类的虚函数表+0位置的是普通析构 complete object destructor，但在+8位置还有一个 deleting destructor。

在这里插入实验代码段，编译后再反汇编查看结果，可以看到直接调用析构时调用了虚函数表+0位置的析构，使用delete operator时调用了虚函数表+8位置的deleting析构。

为什么需要deleting destructor

delete行为分为析构和内存释放（operator delete），正确的析构行为可以通过调用虚析构函数实现，而内存释放时不止需要知道对象的地址，还需要知道实例的实际大小（有时子类和基类实例的内存占用大小不一样）。deleting destructor可以理解为delete的一个virtual封装，里面既调用了析构函数，也调用了operator delete去释放正确的内存。

举例说明（ARM64 GCC）：

x1是delete的入参之一，内存释放的size，一个Base实例的size为：

8Byte 虚函数表指针 + 4Byte int[1] + 4Byte 内存对齐留空 = 16

相较Base实例，A实例的size多了400字节的int[100]，它deleting destructor中入参的size也有所不同：

参考

C++中的deleting destructor ：https://zhuanlan.zhihu.com/p/26392392

Compiler Expolorer ： https://godbolt.org/

寄存器 ：https://blog.csdn.net/vviccc/article/details/134428965

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/650848.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

新兴游戏引擎Godot vs. 主流游戏引擎Unity和虚幻引擎，以及版本控制工具Perforce Helix Core如何与其高效集成

新兴游戏引擎Godot vs. 主流游戏引擎Unity和虚幻引擎，以及版本控制工具Perforce Helix Core如何与其高效集成

游戏行业出现一个新生事物——Godot&#xff0c;一个免费且开源的2D和3D游戏引擎。曾经由Unity和虚幻引擎&#xff08;Unreal Engine&#xff09;等巨头主导的领域如今迎来了竞争对手。随着最近“独特”定价模式的变化&#xff0c;越来越多的独立开发者和小型开发团队倾向于选择…
阅读更多...
目前软件测试前景怎么样？有哪些机遇和挑战？

目前软件测试前景怎么样？有哪些机遇和挑战？

随着信息技术的快速发展&#xff0c;软件已经成为了我们生活中不可或缺的一部分。而软件的质量和稳定性也直接关系到用户的使用体验和企业的竞争力。因此&#xff0c;软件测试作为软件质量保证的重要环节&#xff0c;其前景也备受关注。 首先&#xff0c;从行业角度来看&#x…
阅读更多...
javaEE--多线程学习-进程调度

javaEE--多线程学习-进程调度

进程调度不明白&#xff1f;看这一篇文章就够了&#xff0c;逻辑衔接严密&#xff0c;文末附有关键面试题&#xff0c;一个海后的小故事让你瞬间明白这里面的弯弯绕绕&#xff01; 目录 1.什么是进程&#xff1f; 2.进程控制块&#xff08;PCB&#xff09; 2.1 一个PCB就是一…
阅读更多...
python中开发页面的两种方法：Qt Designer（PyQt图形化界面拖拽开发App界面）以及Django（开发Web应用框架）

python中开发页面的两种方法：Qt Designer（PyQt图形化界面拖拽开发App界面）以及Django（开发Web应用框架）

一、开发独立的窗口&#xff0c;App的那种&#xff0c;可使用tkinter或者PyQt 使用PyQt时&#xff0c;里面有个工具Qt Designer&#xff0c;是一个可视化的界面设计工具&#xff0c;可以通过拖拽等方式来设计界面。下面就是Qt Designer的操作界面&#xff1a; 参考链接如下&am…
阅读更多...
广播式自动相关监视（ADS-B）系统市场发展空间大 空中交通是其目前主要应用领域

广播式自动相关监视（ADS-B）系统市场发展空间大 空中交通是其目前主要应用领域

广播式自动相关监视&#xff08;ADS-B&#xff09;系统市场发展空间大 空中交通是其目前主要应用领域 广播式自动相关监视&#xff08;ADS-B&#xff09;系统是一种基于全球卫星定位系统和利用空地、空空数据链实现交通监控和信息传递的空管监视系统。 　　ADS-B系统是一种航空…
阅读更多...
企业微信如何接入智能客服

企业微信如何接入智能客服

企业微信接入微信客服 一、企业微信—微信客服 1.操作链接&#xff1a;https://open.work.weixin.qq.com/help2/pc/17961 2.实现步骤&#xff08;移动端&#xff09; 1.工作台-微信客服 2.创建机器人客服 录入知识库和场景知识包 在客户群中接入智能客服 优点: 1.方便快…
阅读更多...
靠这套 Pytest 接口自动化测试框架，击败了99%的人

靠这套 Pytest 接口自动化测试框架，击败了99%的人

&#x1f345; 视频学习&#xff1a;文末有免费的配套视频可观看 &#x1f345; 点击文末小卡片 &#xff0c;免费获取软件测试全套资料&#xff0c;资料在手&#xff0c;涨薪更快 Pytest 的下载安装 1、Python3 使用 pip install -U pytest 安装 2、查看 pytest 版本信息 py…
阅读更多...
Win7升级Win10/11详细教程—请查收！

Win7升级Win10/11详细教程—请查收！

为什么要从Win7升级到Win10/11&#xff1f; 大部分用户选择Win7升级Win10/11是因为相较于Win7&#xff0c;Win10/11在微软公司的不懈努力下&#xff0c;到目前为止已经有了很大的优化&#xff1a;bug更少、用户体验更好、不断推出的新功能等。 有几个原因可以解释为什么人们应…
阅读更多...
最大层内元素和

最大层内元素和

题目链接 最大层内元素和 题目描述 注意点 返回层内元素之和 最大 的那几层&#xff08;可能只有一层&#xff09;的层号&#xff0c;并返回其中 最小 的那个树中的节点数在 [1, 10000]范围内-10^5 < Node.val < 10^5 解答思路 广度优先遍历树&#xff0c;使用队列存…
阅读更多...
聊天宝快捷回复支持多款直播助手软件让您直播互动更高效

聊天宝快捷回复支持多款直播助手软件让您直播互动更高效

聊天宝快捷回复助手&#xff0c;支持抖音直播伴侣,小红书直播助手,快手直播伴侣等多个直播平台客户端&#xff0c;吸附在客户端窗口&#xff0c;实现话术的一键发送&#xff0c;在直播过程中方便直播助理与客户高效互动&#xff0c;发送产品介绍&#xff0c;商品链接&#xff0…
阅读更多...
太速科技-基于6 U VPX M.2 高带宽加固存储板

太速科技-基于6 U VPX M.2 高带宽加固存储板

基于6 U VPX M.2 高带宽加固存储板 一、板卡概述 基于6 U VPX M.2 高带宽加固存储板&#xff0c;可以实现VPX接口的数据读写到PCI-E总线的NVME存储媒介上。采用PLX8732&#xff0c;上行链路提供带宽x16的PCI-E数据到VPX接口上&#xff1b;下行链路提供3路带宽x4的PCI-E接口…
阅读更多...
第59篇：创建Nios II工程之控制LED＜一＞

第59篇：创建Nios II工程之控制LED＜一＞

Q&#xff1a;还记得第1篇吗&#xff1f;设计简单的逻辑电路&#xff0c;控制DE2-115开发板上LED的亮与熄灭&#xff0c;一行Verilog HDL的assign赋值语句即可实现。本期开始创建Nios II工程&#xff0c;用C语言代码控制DE2-115开发板上的LED实现流水灯效果。 A&#xff1a;在…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023