Windows代码heap内存分析实战

知识这东西有时候很奇怪，每次当你重新审视他的时候可能都会有新的收获。最近为了研究一个内存相关的问题，把windows heap相关的内容又复习了一遍，收获不小，记录一下，希望有朋友使用的时候少走些弯路。

老话说的好，知己知彼方可百战不殆，没准备就去打仗无异于以卵击石，后果可想而知，那分析heap的问题需要什么基础知识呢：

1. Windows 基础知识，内存模型，什么是堆，堆内存是如何管理的，不了解的，建议学习<windows internals>。

2. 如何调试相关的问题，如何选择工具，建议学习windbg相关的命令。

3. 如何配置系统，如何启动页堆，如何使用gflag。

4. 相关的反汇编知识。

5. 知道如何能找到有用的信息。

好吧，以一个例子来说明：

void CTestPHeapDlg::OnBnClickedOk()

{

char * p;

HANDLE hHeap;

hHeap = HeapCreate(0, 1024, 0);

p=(char*)HeapAlloc(hHeap, 0, 9);

}

假设代码如上，点击一下，分配一次内存，同时假设代码很长，无法通过代码审查发现在那分配额的内存，如下的步骤可以帮你找到在哪分配的内存：

1. 对这个程序配置gflag开启完全页堆。

2. windbg调试器下运行程序。

3. 执行如下步骤：

0:001> !heap -p

Active GlobalFlag bits:

hpa - Place heap allocations at ends of pages

StackTraceDataBase @ 00430000 of size 01000000 with 00000378 traces

PageHeap enabled with options:

ENABLE_PAGE_HEAP

COLLECT_STACK_TRACES

active heaps:

+ 170000

ENABLE_PAGE_HEAP COLLECT_STACK_TRACES

NormalHeap - 270000

HEAP_GROWABLE

0:001> !heap -p -h 170000

_DPH_HEAP_ROOT @ 171000

Freed and decommitted blocks

DPH_HEAP_BLOCK : VirtAddr VirtSize

00174a3c : 0284f000 00002000

00174ba4 : 02851000 00002000

00174b7c : 02853000 00002000

00174b04 : 02855000 00002000

001749ec : 02857000 00002000

00174ab4 : 02859000 00002000

001749c4 : 0285b000 00002000

00173d1c : 0285d000 00002000

0017494c : 0285f000 00002000

00173d94 : 02861000 00002000

0017499c : 027e4000 00002000

Busy allocations

DPH_HEAP_BLOCK : UserAddr UserSize - VirtAddr VirtSize

001744ec : 0282ffe0 00000020 - 0282f000 00002000

001741a4 : 0282dfe0 00000020 - 0282d000 00002000

00174a14 : 028b1ff0 00000010 - 028b1000 00002000

001726ec : 025e8fd8 00000024 - 025e8000 00002000

MSCTF!CSharedBlockNT::`vftable'

00172714 : 025e4ff8 00000008 - 025e4000 00002000

00174a64 : 0289bfe0 00000020 - 0289b000 00002000

00174a8c : 02899fe0 00000020 - 02899000 00002000

001743ac : 0284bff0 0000000c - 0284b000 00002000

00174384 : 02849f88 00000074 - 02849000 00002000

00174334 : 02845f88 00000074 - 02845000 00002000

001742e4 : 02841f88 00000074 - 02841000 00002000

0017124c : 00186ce8 00000314 - 00186000 00002000

00171224 : 00184ce8 00000314 - 00184000 00002000

001711fc : 00182d28 000002d8 - 00182000 00002000

001711ac : 0017efd0 0000002d - 0017e000 00002000

0017115c : 0017afd8 00000022 - 0017a000 00002000

_HEAP @ 270000

_HEAP_LOOKASIDE @ 270688

_HEAP_SEGMENT @ 270640

CommittedRange @ 270680

HEAP_ENTRY Size Prev Flags UserPtr UserSize - state

* 00270680 0301 0000 [01] 00270688 01800 - (busy)

00271e88 022f 0301 [10] 00271e90 01170 - (free)

VirtualAllocdBlocks @ 270050

0:001> dt _DPH_BLOCK_INFORMATION 0282ffe0-0x20

ntdll!_DPH_BLOCK_INFORMATION

+0x000 StartStamp : 0xabcdbbbb

+0x004 Heap : 0x00171000

+0x008 RequestedSize : 0x20

+0x00c ActualSize : 0x1000

+0x010 FreeQueue : _LIST_ENTRY [ 0x359 - 0x0 ]

+0x010 TraceIndex : 0x359

+0x018 StackTrace : 0x028c271c

+0x01c EndStamp : 0xdcbabbbb

0:001> dds 0x028c271c

028c271c abcdaaaa

028c273c 7c94b244 ntdll!RtlAllocateHeapSlowly+0x44

028c2740 7c919c0c ntdll!RtlAllocateHeap+0xe64

028c2744 7c9114d6 ntdll!RtlpAllocateDebugInfo+0x49

028c2748 7c911566 ntdll!RtlInitializeCriticalSectionAndSpinCount+0xa9

028c274c 7c91162c ntdll!RtlInitializeCriticalSection+0xf

028c2750 7c96b97c ntdll!RtlpDebugPageHeapCreate+0x191

028c2754 7c93bd16 ntdll!RtlCreateHeap+0x41

028c2758 7c812c9f kernel32!HeapCreate+0x55

028c275c 004136d4 TestPHeap!CTestPHeapDlg::OnBnClickedOk+0x34 [f:\democode\testpheap\testpheap\testpheapdlg.cpp @ 158]

028c2760 78aad602 mfc90ud!_AfxDispatchCmdMsg+0xb2 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\cmdtarg.cpp @ 82]

028c2764 78aadd4a mfc90ud!CCmdTarget::OnCmdMsg+0x2ea [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\cmdtarg.cpp @ 381]

028c2768 78a83a13 mfc90ud!CDialog::OnCmdMsg+0x23 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\dlgcore.cpp @ 85]

028c276c 78a45994 mfc90ud!CWnd::OnCommand+0x174 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\wincore.cpp @ 2364]

028c2770 78a44609 mfc90ud!CWnd::OnWndMsg+0x79 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\wincore.cpp @ 1769]

028c2774 78a44552 mfc90ud!CWnd::WindowProc+0x32 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\wincore.cpp @ 1755]

028c2778 78a41970 mfc90ud!AfxCallWndProc+0xf0 [f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\wincore.cpp @ 240]

028c277c abcdaaaa

看到结果了吧？如下的callstack正是内存分配时的栈，希望对大家有所帮助。