GWP-ASan

GWP-ASan – это функция нативного распределителя памяти, которая помогает находить ошибки типа Use-After-Free и Heap-Buffer-Overflow. Его неофициальное название – рекурсивный акроним: GWP-ASan Will Provide Allocation SANity. В отличие от HWASan и отладки выделения памяти, GWP-ASan не требует исходного кода или перекомпиляции (то есть работает с предварительно созданными сборками) и работает как с 32-, так и с 64-разрядными процессами (хотя при сбоях 32-разрядных процессов сведений для отладки меньше). В этой статье рассказывается, как включить GWP-ASan в приложении. Инструмент доступен для приложений, предназначенных для Android 11 (уровень API 30) или более поздней версии.

Обзор

GWP-ASan включается в некоторых случайно выбранных системных приложениях и исполняемых файлах платформы при запуске процесса (или когда zygote создает дочерний процесс). Включите GWP-ASan в своем приложении, чтобы находить ошибки, связанные с памятью, и подготовить приложение к поддержке ARM Memory Tagging Extension (MTE). Механизмы выборки при распределении также обеспечивают надежность в отношении запросов, приводящих к сбою.

После включения GWP-ASan перехватывает случайно выбранный поднабор выделений памяти в куче и помещает их в специальную область, которая обнаруживает трудно выявляемые ошибки повреждения памяти в куче. Если пользователей достаточно, даже такая низкая частота дискретизации позволит обнаружить ошибки безопасности памяти кучи, которые не выявляются при обычном тестировании. Например, GWP-ASan обнаружил значительное количество ошибок в браузере Chrome (многие из них до сих пор находятся в ограниченном доступе).

GWP-ASan собирает дополнительную информацию обо всех перехваченных выделениях памяти. Эта информация доступна, когда GWP-ASan обнаруживает нарушение безопасности памяти, и автоматически помещается в отчет о сбое на уровне ОС, что может значительно помочь в отладке (см. пример).

GWP-ASan не создает значительной нагрузки на ЦП. При включении GWP-ASan незначительно увеличивается нагрузка на ОЗУ. Этот объем определяется системой Android и в настоящее время составляет около 70 кибибайт (КиБ) для каждого затронутого процесса.

Как получить согласие на использование приложения

GWP-ASan можно включить на уровне процесса, используя тег android:gwpAsanMode в манифесте приложения. Поддерживаются следующие варианты:

  • "Всегда отключено" (android:gwpAsanMode="never"). Этот параметр полностью отключает GWP-ASan в приложении и используется по умолчанию для несистемных приложений.

  • По умолчанию (android:gwpAsanMode="default" или не указано): Android 13 (API уровня 33) и более ранние версии – GWP-ASan отключен. Android 14 (уровень API 34) и более поздние версии – включен восстанавливаемый GWP-ASan.

  • "Всегда включено" (android:gwpAsanMode="always"). Этот параметр включает GWP-ASan в приложении, что подразумевает следующее:

    1. Операционная система резервирует фиксированный объем ОЗУ для операций GWP-ASan – около 70 КиБ для каждого затронутого процесса. Включите GWP-ASan, если ваше приложение не критически чувствительно к увеличению использования памяти.

    2. GWP-ASan перехватывает случайно выбранный набор выделений памяти в куче и помещает их в специальную область, которая надежно обнаруживает нарушения безопасности памяти.

    3. Если в этой области происходит нарушение безопасности памяти, GWP-ASan завершает процесс.

    4. GWP-ASan предоставляет дополнительную информацию о сбое в отчете.

Чтобы включить GWP-ASan для всего приложения, добавьте в файл AndroidManifest.xml следующий код:

<application android:gwpAsanMode="always">
  ...
</application>

Кроме того, GWP-ASan можно включить или отключить для определенных подпроцессов приложения. Вы можете настроить действия и сервисы, используя процессы, для которых GWP-ASan включен или отключен. Пример:

<application>
  <processes>
    <!-- Create the (empty) application process -->
    <process />

    <!-- Create subprocesses with GWP-ASan both explicitly enabled and disabled. -->
    <process android:process=":gwp_asan_enabled"
               android:gwpAsanMode="always" />
    <process android:process=":gwp_asan_disabled"
               android:gwpAsanMode="never" />
  </processes>

  <!-- Target services and activities to be run on either the GWP-ASan enabled or disabled processes. -->
  <activity android:name="android.gwpasan.GwpAsanEnabledActivity"
            android:process=":gwp_asan_enabled" />
  <activity android:name="android.gwpasan.GwpAsanDisabledActivity"
            android:process=":gwp_asan_disabled" />
  <service android:name="android.gwpasan.GwpAsanEnabledService"
           android:process=":gwp_asan_enabled" />
  <service android:name="android.gwpasan.GwpAsanDisabledService"
           android:process=":gwp_asan_disabled" />
</application>

Устранимые ошибки GWP-ASan

Android 14 (уровень API 34) и более поздние версии поддерживают Recoverable GWP-ASan. Этот инструмент помогает разработчикам находить ошибки типа Heap-Buffer-Overflow и Heap-Use-After-Free в рабочей среде, не ухудшая удобство для пользователей. Если в файле AndroidManifest.xml не указано значение android:gwpAsanMode, приложение использует Recoverable GWP-ASan.

Recoverable GWP-ASan отличается от базовой версии GWP-ASan следующим образом:

  1. Восстанавливаемый GWP-ASan включается только примерно в 1% случаев запуска приложений, а не при каждом запуске.
  2. При обнаружении ошибки heap-use-after-free или heap-buffer-overflow она появляется в отчете о сбое (tombstone). Этот отчет о сбое доступен через API ActivityManager#getHistoricalProcessExitReasons, как и исходный отчет GWP-ASan.
  3. Вместо того чтобы завершать работу после создания отчета о сбое, Recoverable GWP-ASan позволяет нарушить целостность информации в памяти, и приложение продолжает работать. Хотя процесс может продолжаться в обычном режиме, поведение приложения больше не определено. Из-за повреждения памяти приложение может аварийно завершить работу в любой момент или продолжить функционировать без видимых для пользователя проблем.
  4. После создания отчета об ошибке восстанавливаемый GWP-ASan отключается. Поэтому за один запуск приложение может получить только один отчет Recoverable GWP-ASan.
  5. Если в приложении установлен специальный обработчик сигналов, он никогда не вызывается для сигнала SIGSEGV, который указывает на устранимую ошибку GWP-ASan.

Поскольку сбои Recoverable GWP-ASan указывают на реальные случаи повреждения памяти на устройствах конечных пользователей, мы настоятельно рекомендуем сортировать и исправлять ошибки, выявленные Recoverable GWP-ASan, с высоким приоритетом.

Поддержка для разработчиков

В этом разделе описаны проблемы, которые могут возникнуть при использовании GWP-ASan, и способы их устранения.

Отсутствуют трассировки выделения и освобождения памяти.

Если вы диагностируете сбой на уровне ОС, в котором, по-видимому, отсутствуют фреймы выделения или освобождения памяти, то в вашем приложении, скорее всего, отсутствуют указатели фреймов. GWP-ASan использует указатели фреймов для записи трассировок выделения и освобождения памяти в целях повышения производительности и не может развернуть трассировку стека, если они отсутствуют.

Указатели фреймов по умолчанию включены для устройств arm64 и отключены для устройств arm32. Поскольку у приложений нет контроля над libc, GWP-ASan, как правило, не может собирать трассировки выделения и освобождения памяти для 32-битных исполняемых файлов или приложений. 64-разрядные приложения не должны быть созданы с помощью -fomit-frame-pointer, чтобы GWP-ASan мог собирать трассировки стека выделения и освобождения памяти.

Воспроизведение нарушений безопасности

GWP-ASan предназначен для обнаружения нарушений безопасности памяти кучи на устройствах пользователей. GWP-ASan предоставляет как можно больше контекста о сбое (трассировку доступа к нарушению, строку причины и трассировку выделения/освобождения памяти), но все равно может быть трудно понять, как произошло нарушение. К сожалению, поскольку обнаружение ошибок носит вероятностный характер, отчеты GWP-ASan часто сложно воспроизвести на локальном устройстве.

Если ошибка затрагивает 64-разрядные устройства, используйте HWAddressSanitizer (HWASan). HWASan надежно обнаруживает нарушения безопасности памяти в стеке, куче и глобальных переменных. Запустив приложение с HWASan, вы сможете воспроизвести результат, полученный с помощью GWP-ASan.

Если запуск приложения в HWASan не позволяет выявить основную причину ошибки, попробуйте выполнить фаззинг-тестирование кода. Вы можете направить свои усилия по фаззингу на основе информации в отчете GWP-ASan, который может надежно обнаруживать и выявлять основные проблемы со здоровьем кода.

Пример

В этом примере нативного кода есть ошибка использования памяти после освобождения:

#include <jni.h>
#include <string>
#include <string_view>

jstring native_get_string(JNIEnv* env) {
   std::string s = "Hellooooooooooooooo ";
   std::string_view sv = s + "World\n";

   // BUG: Use-after-free. `sv` holds a dangling reference to the ephemeral
   // string created by `s + "World\n"`. Accessing the data here is a
   // use-after-free.
   return env->NewStringUTF(sv.data());
}

extern "C" JNIEXPORT jstring JNICALL
Java_android11_test_gwpasan_MainActivity_nativeGetString(
    JNIEnv* env, jobject /* this */) {
  // Repeat the buggy code a few thousand times. GWP-ASan has a small chance
  // of detecting the use-after-free every time it happens. A single user who
  // triggers the use-after-free thousands of times will catch the bug once.
  // Alternatively, if a few thousand users each trigger the bug a single time,
  // you'll also get one report (this is the assumed model).
  jstring return_string;
  for (unsigned i = 0; i < 0x10000; ++i) {
    return_string = native_get_string(env);
  }

  return reinterpret_cast<jstring>(env->NewGlobalRef(return_string));
}

При тестовом запуске с использованием приведенного выше примера кода GWP-ASan успешно обнаружил недопустимое использование и создал отчет о сбое, который приведен ниже. GWP-ASan автоматически улучшает отчет, добавляя в него информацию о типе сбоя, метаданные о выделении памяти, а также связанные трассировки стека выделения и освобождения памяти.

*** *** *** *** *** *** *** *** *** *** *** *** *** *** *** ***
Build fingerprint: 'google/sargo/sargo:10/RPP3.200320.009/6360804:userdebug/dev-keys'
Revision: 'PVT1.0'
ABI: 'arm64'
Timestamp: 2020-04-06 18:27:08-0700
pid: 16227, tid: 16227, name: 11.test.gwpasan  >>> android11.test.gwpasan <<<
uid: 10238
signal 11 (SIGSEGV), code 2 (SEGV_ACCERR), fault addr 0x736ad4afe0
Cause: [GWP-ASan]: Use After Free on a 32-byte allocation at 0x736ad4afe0

backtrace:
      #00 pc 000000000037a090  /apex/com.android.art/lib64/libart.so (art::(anonymous namespace)::ScopedCheck::CheckNonHeapValue(char, art::(anonymous namespace)::JniValueType)+448)
      #01 pc 0000000000378440  /apex/com.android.art/lib64/libart.so (art::(anonymous namespace)::ScopedCheck::CheckPossibleHeapValue(art::ScopedObjectAccess&, char, art::(anonymous namespace)::JniValueType)+204)
      #02 pc 0000000000377bec  /apex/com.android.art/lib64/libart.so (art::(anonymous namespace)::ScopedCheck::Check(art::ScopedObjectAccess&, bool, char const*, art::(anonymous namespace)::JniValueType*)+612)
      #03 pc 000000000036dcf4  /apex/com.android.art/lib64/libart.so (art::(anonymous namespace)::CheckJNI::NewStringUTF(_JNIEnv*, char const*)+708)
      #04 pc 000000000000eda4  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (_JNIEnv::NewStringUTF(char const*)+40)
      #05 pc 000000000000eab8  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (native_get_string(_JNIEnv*)+144)
      #06 pc 000000000000edf8  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (Java_android11_test_gwpasan_MainActivity_nativeGetString+44)
      ...

deallocated by thread 16227:
      #00 pc 0000000000048970  /apex/com.android.runtime/lib64/bionic/libc.so (gwp_asan::AllocationMetadata::CallSiteInfo::RecordBacktrace(unsigned long (*)(unsigned long*, unsigned long))+80)
      #01 pc 0000000000048f30  /apex/com.android.runtime/lib64/bionic/libc.so (gwp_asan::GuardedPoolAllocator::deallocate(void*)+184)
      #02 pc 000000000000f130  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (std::__ndk1::_DeallocateCaller::__do_call(void*)+20)
      ...
      #08 pc 000000000000ed6c  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (std::__ndk1::basic_string<char, std::__ndk1::char_traits<char>, std::__ndk1::allocator<char> >::~basic_string()+100)
      #09 pc 000000000000ea90  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (native_get_string(_JNIEnv*)+104)
      #10 pc 000000000000edf8  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (Java_android11_test_gwpasan_MainActivity_nativeGetString+44)
      ...

allocated by thread 16227:
      #00 pc 0000000000048970  /apex/com.android.runtime/lib64/bionic/libc.so (gwp_asan::AllocationMetadata::CallSiteInfo::RecordBacktrace(unsigned long (*)(unsigned long*, unsigned long))+80)
      #01 pc 0000000000048e4c  /apex/com.android.runtime/lib64/bionic/libc.so (gwp_asan::GuardedPoolAllocator::allocate(unsigned long)+368)
      #02 pc 000000000003b258  /apex/com.android.runtime/lib64/bionic/libc.so (gwp_asan_malloc(unsigned long)+132)
      #03 pc 000000000003bbec  /apex/com.android.runtime/lib64/bionic/libc.so (malloc+76)
      #04 pc 0000000000010414  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (operator new(unsigned long)+24)
      ...
      #10 pc 000000000000ea6c  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (native_get_string(_JNIEnv*)+68)
      #11 pc 000000000000edf8  /data/app/android11.test.gwpasan/lib/arm64/libmy-test.so (Java_android11_test_gwpasan_MainActivity_nativeGetString+44)
      ...

Дополнительная информация

Подробные сведения о реализации GWP-ASan можно найти в документации LLVM. Подробнее о диагностике сбоев на уровне ОС…