之前把kasan的实现原理介绍了3篇，也基本可以掌握一些问题的分析思路，在实际项目中可能会需要你更加准确的给出问题的答案。最近工作中遇到了一个memcpy导致的oob问题，拿出来分享下。

问题

这里是模拟问题写了个demo，输出如下：

[ 1] BUG: KASAN: slab-out-of-bounds in kasan1_init+0x70/0x1000 [kasan_test]
[ 2] Read of size 10000 at addr ffff00000d0a0000 by task insmod/677
[ 3] 
[ 4] CPU: 3 PID: 677 Comm: insmod Tainted: G           O      5.15.0+ #114
[ 5] Hardware name: linux,dummy-virt (DT)
[ 6] Call trace:
[ 7]  dump_backtrace+0x0/0x2ac
[ 8]  show_stack+0x1c/0x24
[ 9]  dump_stack_lvl+0xc0/0x100
[10]  print_address_description.constprop.0+0x34/0x274
[11]  kasan_report+0x138/0x1d8
[12]  kasan_check_range+0x38/0x174
[13]  memcpy+0x50/0xe8
[14]  kasan1_init+0x70/0x1000 [kasan_test]
...
[15] 
[16] Memory state around the buggy address:
[17]  ffff00000d0a1f00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
[18]  ffff00000d0a1f80: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
[19] >ffff00000d0a2000: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc
[20]                    ^
[21]  ffff00000d0a2080: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc
[22]  ffff00000d0a2100: fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc fc

从上面信息可以看出，memcpy的时候出现了越界，memcpy原型如下：

void *memcpy(void *dest, const void *src, size_t n);

越界有2种可能，需要根据输出确认是哪种情况：

1. n的长度超出了src的范围；
2. n的长度超出了dest的范围；

分析思路

1. 首先分析下memcpy操作过程：从src中读(read) n个字节，然后写(write)入dest中。那么如果是src越界，说明是read行为；相反是write行为；
2. 从第2行输出可以看到"Read of size 10000..."，说明是src越界了；
3. 越界涉及的2方面信息也需要从输出信息中获取：src容量大小和n的字节数。n很明显可以从第2行获取到"Read of size 10000..."为10000，而src容量需要通过计算获取；
4. src计算过程如下：第19行可以获取到踩内存的地址，对应src容量结束地址：ffff00000d0a2000；起始地址为第二行中的"at addr ffff00000d0a0000"。相减可知容量为：8192；
5. 从src中读取的字节数10000超出了其容量8192导致了越界。