去年在現場遇到一個問題，使用mmap操作檔案的時候，總是莫名奇妙的core，用gdb 命令info file檢視程序空間，發現stack棧空間非常大，覺得莫名其妙。後來發現是munmap傳入的len引數錯誤，導致系統刪除了不該刪除的記憶體。一直以為kernel會幫我校驗地址空間是否合法，所以覺得奇怪，不過一直到這幾天，才拿出來程式碼看了看。原來核心不會校驗[addr,addr+len]範圍是否合法，也不管中間是否有空洞，只是儘量刪除更多的區域(vma)。

程式碼是3.13的，檔案是mm/mmap.c

SYSCALL_DEFINE2(munmap, unsigned long, addr, size_t, len
 
)

/* Munmap is split into 2 main parts -- this part which finds
 * what needs doing, and the areas themselves, which do the
 * work.  This now handles partial unmappings.
 * Jeremy Fitzhardinge <[email protected]>
 */
int do_munmap(struct mm_struct *mm, unsigned long start, size_t len)
{
    unsigned
 
 long end;
    struct vm_area_struct *vma, *prev, *last;

    // start已經要頁對齊
    // [start,start+len]一定在正確的範圍內，即都大於TASK_SIZE
    if ((start & ~PAGE_MASK) || start > TASK_SIZE || len > TASK_SIZE-start)
        return -EINVAL;

    // 長度不能是0
    if ((len = PAGE_ALIGN(len)) == 0)
        return -EINVAL;

    /* Find the first overlapping VMA */
 

    // 找到一個vma區域，他的vm_end要比start大。不過不能保證這個區域就包含了start，也可能vma.vm_start也在start後面，甚至在start+len後面
    vma = find_vma(mm, start);
    if (!vma)
        return 0;
    prev = vma->vm_prev;
    /* we have  start < vma->vm_end  */

    /* vma區域跟[start,end]沒有重疊，也只有找到的這個vma可能與[start,end]重疊 */
    end = start + len;
    if (vma->vm_start >= end)
        return 0;

    // 如果vma與[start,end]重疊，就拆分vma。
    // 只有start在(vma.vm_start, vma.vm_end)範圍內時才會有交叉重疊，
    // vma.vm_end肯定是比start大的，那麼如果vma.vm_start比start小，
    // 就能確定兩個區域有重疊，需要拆分vma。
    if (start > vma->vm_start) {
        int error;

        /*
         * Make sure that map_count on return from munmap() will
         * not exceed its limit; but let map_count go just above
         * its limit temporarily, to help free resources as expected.
         */
        if (end < vma->vm_end && mm->map_count >= sysctl_max_map_count)
            return -ENOMEM;

        error = __split_vma(mm, vma, start, 0);
        if (error)
            return error;
        prev = vma;
    }

    // end的判斷也是類似的，看看包含end的vma是否需要拆分
    last = find_vma(mm, end);
    if (last && end > last->vm_start) {
        int error = __split_vma(mm, last, end, 1);
        if (error)
            return error;
    }
    vma = prev? prev->vm_next: mm->mmap;

    // 嘗試解鎖某些加鎖區域，如果存在的話
    if (mm->locked_vm) {
        struct vm_area_struct *tmp = vma;
        while (tmp && tmp->vm_start < end) {
            if (tmp->vm_flags & VM_LOCKED) {
                mm->locked_vm -= vma_pages(tmp);
                munlock_vma_pages_all(tmp);
            }
            tmp = tmp->vm_next;
        }
    }

    // 把unmap需要刪除的vma從mm中刪除，並返回需要刪除的vma連結串列
    detach_vmas_to_be_unmapped(mm, vma, prev, end);
    // 通知MMU，重新整理TLB
    unmap_region(mm, vma, prev, start, end);

    // 對每個vma做vma.vm_ops.close(如果有的話），還要釋放檔案(vma.vm_file)
    remove_vma_list(mm, vma);

    return 0;
}

detach_vmas_to_be_unmapped這個函式負責把[start,end]範圍內的vma全部從程序空間中刪除，並沒有檢查中間的區域之間是否有空洞。所以如果傳入的長度比較大，超過了之前mmap的大小，也不會出現錯誤，導致undefined異常。

static void
detach_vmas_to_be_unmapped(struct mm_struct *mm, struct vm_area_struct *vma,
    struct vm_area_struct *prev, unsigned long end)
{
    struct vm_area_struct **insertion_point;
    struct vm_area_struct *tail_vma = NULL;

    insertion_point = (prev ? &prev->vm_next : &mm->mmap);
    vma->vm_prev = NULL;
    do {
        vma_rb_erase(vma, &mm->mm_rb); // 從程序空間中刪除所有的vma
        mm->map_count--;
        tail_vma = vma;
        vma = vma->vm_next;
    } while (vma && vma->vm_start < end);
    *insertion_point = vma;
    if (vma) {
        vma->vm_prev = prev;
        vma_gap_update(vma);
    } else
        mm->highest_vm_end = prev ? prev->vm_end : 0;
    tail_vma->vm_next = NULL;
    mm->mmap_cache = NULL;      /* Kill the cache. */
}