Программирование для Linux. Профессиональный подход

■ операции чтения и записи динамической памяти должны выполняться в рамках выделенной области, не выходя за ее пределы;

■ к выделенной области нельзя обращаться после того, как она была освобождена.

Выделение и освобождение динамической памяти происходят на этапе выполнения программы, поэтому статический анализ исходных текстов редко позволяет выявить недочеты. Утилиты проверки памяти сначала загружают программу, а затем определяют, нарушаются ли перечисленные выше правила. Выявляются следующие ошибки:

■ чтение памяти до того, как она была выделена;

■ запись в память до того, как она была выделена;

■ чтение данных по адресу, предшествующему началу выделенной области;

■ запись данных по адресу, предшествующему началу выделенной области;

■ чтение данных по адресу, стоящее после выделенной области;

■ запись данных по адресу, стоящему после выделенной области;

■ чтение памяти после того, как она была освобождена;

■ запись в память после того, как она была освобождена;

■ неудачная попытка освободить выделенную память;

■ попытка повторно освободить ту же самую область памяти;

■ попытка освободить память, которая не была выделена.

Полезно также предупреждать о выделениях областей размером 0 байтов, так как это обычно свидетельствует об ошибке программиста.

В табл. А.1 описаны возможности четырех диагностических средств. К сожалению, ни одно из них не выявляет все возможные ошибки. Кроме того, ни одно средство не позволяет обнаруживать попытки чтения или записи памяти до того, как она была выделена, хотя такая попытка наверняка приведет к нарушению сегментации. Обнаруживаются те ошибки, которые действительно происходят в процессе работы программы. Если передать программе такие входные данные, что выделять память не понадобится, ошибки обращения к памяти не будут найдены. Для максимально тщательной проверки программы рекомендуется передавать ей самые разные входные данные, чтобы протестировать все возможные пути ее выполнения. Желательно также тестировать программу всеми имеющимися средствами.

Таблица А.1. Возможности средств проверки динамической памяти (X — обнаружение, О — обнаружение в некоторых случаях):

Ошибка	Проверка функции malloc	Утилита mtrace	Библиотека ccmalloc	Библиотека Electric Fence
Чтение памяти до того, как она была выделена
Запись в память до того, как она была выделена
Чтение данных по адресу, предшествующему началу выделенной области				X
Запись данных по адресу, предшествующему началу выделенной области	О		О	X
Чтение данных по адресу, стоящему после выделенной области				X
Запись данных по адресу, стоящему после выделенной области			X	X
Чтение памяти после того, как она была освобождена				X
Запись в память после того, как она была освобождена				X
Неудачная попытка освободить выделенную память		X	X
Попытка повторно освободить ту же самую область памяти	X		X
Попытка освободить память. которая не была выделена		X	X
Выделение памяти нулевого размера			X	X

А.2.1. Программа для тестирования динамической памяти

Программа malloc-use, приведенная в листинге А.2, позволяет тестировать операции выделения, освобождения и обращения к памяти. Единственный аргумент командной строки задает максимальное число выделяемых буферов. Например, по команде malloc-use 12 будет создан массив А из двенадцати пустых указателей. Программа принимает пять разных команд.

■ Если ввести a i b, для элемента массива А[i] будет выделено b байтов. Индекс i должен быть неотрицательным числом, меньшим, чем аргумент командной строки. Число байтов также должно быть неотрицательным.

■ Если ввести d i, будет удален буфер A[i].

■ Если ввести r i p, из буфера A[i] будет прочитан p– й символ (A[i][p]). Значение p должно быть целым.

■ Если ввести w i p, в позицию p буфера A[i] будет записан символ.

■ Для завершения работы программы введите q.

Прежде чем привести исходный текст программы, опишем, как работать с ней.

А.2.2. Проверка функции malloc

Функции выделения и освобождения памяти, имеющиеся в GNU-библиотеке языка С, способны обнаруживать факт записи в память до начала выделенной области, а также попытку освободить одну и ту же область дважды. Если задать переменную среды MALLOC_CHECK_ равной 2, программа malloc-use аварийно завершит работу в случае выявления такого рода ошибки. Подобное изменение поведения не требует перекомпиляции программы.

Вот что произойдет, если записать символ перед началом массива;

% export MALLOC_CHECK_=2
% ./malloc-use 12
Please enter a command: a 0 10
Please enter a command: w 0 -1
Please enter a command: d 0
Aborted (core dumped)

Команда export включила проверку функции malloc, а значение 2 заставило программу завершиться сразу после обнаружения ошибки.

Проверка функции malloc очень полезна, потому что программу не нужно перекомпилировать, однако возможности этой проверки весьма ограничены. В основном определяется, не были ли повреждены выделенные структуры данных. Таким образом, сразу же обнаруживаются попытки повторно удалить ту же самую область. Кроме того, выявляется факт записи данных непосредственно перед началом выделенного блока, поскольку его размер хранится именно там. К сожалению, проверка выполняется только тогда, когда программа вызывает функцию malloc или free, а не когда происходит обращение к памяти. То есть до обнаружения ошибки может произойти множество неправильных операций чтения и записи. В частности, в предыдущем примере ошибка записи была выявлена лишь при попытке освободить выделенную область.