LWIP协议栈测试中遇到pbuf_free出断言的问题

发布于 2017-08-17 00:19:09 浏览：3948 订阅该版

【问题描述】：
               设备的程序作为TCP服务端，将一些信息上报上位机，每秒钟上报数据量大约有10KBYTE，上位机有一个TCP客户端的软件，负责接收服务端上报的数据，长时间可靠性测试过程中，在代码如下位置调用pbuf_free出现p = NULL的断言。
```ip_input(struct pbuf *p, struct netif *inp)
{
  struct ip_hdr *iphdr;
  struct netif *netif;
  u16_t iphdr_hlen;
  u16_t iphdr_len;
#if IP_ACCEPT_LINK_LAYER_ADDRESSING
  int check_ip_src=1;
#endif /* IP_ACCEPT_LINK_LAYER_ADDRESSING */

#if IP_NAT
  extern u8_t ip_nat_input(struct pbuf *p);
  extern u8_t ip_nat_out(struct pbuf *p);
#endif

IP_STATS_INC(ip.recv);
  snmp_inc_ipinreceives();

/* identify the IP header */
  iphdr = (struct ip_hdr *)p->payload;
  if (IPH_V(iphdr) != 4) {
    LWIP_DEBUGF(IP_DEBUG | LWIP_DBG_LEVEL_WARNING, ("IP packet dropped due to bad version number %"U16_F"
", IPH_V(iphdr)));
    ip_debug_print(p);
    pbuf_free(p);// 出错时，p为NULL
    IP_STATS_INC(ip.err);
    IP_STATS_INC(ip.drop);
    snmp_inc_ipinhdrerrors();
    return ERR_OK;
  }```

从代码的字面意思理解，应该是这个包IP头数据有问题，但是不明白p指针怎么回事NULL呢，并且释放之前也没有去判断是不是NULL？？？
不知道具体原因，可能还需要抓包看一下，但是这个地方是不是可以直接改一下，改成
if(p != NULL)pbuf_free(p)呢？
![0817_3.jpg](https://oss-club.rt-thread.org/uploads/10093_6ec8101f5e32bd544a2c5ff63cdc4c3d.jpg)

![0817_4.jpg](https://oss-club.rt-thread.org/uploads/10093_e32e62f44e51b3c0fc75876fd8deb335.jpg)

5 个回答

aozima 2017-08-17

调网络不抓包，调I2C等时序不上逻辑分析仪，就像电工不用万用表！多用整理的好的文字，比截图更省流量，还能在整理过程中思考。

zhanglei23941@f 2017-08-17

这家伙很懒，什么也没写！

tcpip_thread(void *arg)
{
  struct tcpip_msg *msg;
  LWIP_UNUSED_ARG(arg);

if (tcpip_init_done != NULL) {
    tcpip_init_done(tcpip_init_done_arg);
  }

LOCK_TCPIP_CORE();
  while (1) {                          /* MAIN Loop */
    UNLOCK_TCPIP_CORE();
    LWIP_TCPIP_THREAD_ALIVE();
    /* wait for a message, timeouts are processed while waiting */
    sys_timeouts_mbox_fetch(&mbox, (void **)&msg);
    LOCK_TCPIP_CORE();
    switch (msg->type) {
#if LWIP_NETCONN
    case TCPIP_MSG_API:
      LWIP_DEBUGF(TCPIP_DEBUG, ("tcpip_thread: API message %p
", (void *)msg));
      msg->msg.apimsg->function(&(msg->msg.apimsg->msg));
      break;
#endif /* LWIP_NETCONN */

#if !LWIP_TCPIP_CORE_LOCKING_INPUT
    case TCPIP_MSG_INPKT:
      LWIP_DEBUGF(TCPIP_DEBUG, ("tcpip_thread: PACKET %p
", (void *)msg));
#if LWIP_ETHERNET
      if (msg->msg.inp.netif->flags & (NETIF_FLAG_ETHARP | NETIF_FLAG_ETHERNET)) {
        ethernet_input(msg->msg.inp.p, msg->msg.inp.netif);
      } else
#endif /* LWIP_ETHERNET */
      {
       ** ip_input(msg->msg.inp.p, msg->msg.inp.netif);**
      }
      memp_free(MEMP_TCPIP_MSG_INPKT, msg);
      break;
#endif /* LWIP_TCPIP_CORE_LOCKING_INPUT */

当出现问题时，代码会从红色的代码进入ip_input，正常会进入ethernet_input，数据抓包没有发现异常，但是发现了下面的问题，指针p的值为零，是因为局部变量指针msg的值变了，由正常的0x68000eec变成了出问题时的0x200080c0，这个地址是一个线程栈空间的一个地址，那个线程的栈空间为2K大小，地址范围0x20007a84~0x20008283..。出问题时msg和mbox的如下两图所示：
[attach]2812[/attach]
[attach]2811[/attach]

于是去看代码，msg的值是怎么来的，是在tcpip_thread中，调用函数sys_timeouts_mbox_fetch(&mbox, (void **)&msg)时，从mbox中获取到的，在rt_mb_recv（）函数中有如下的代码，
*value = mb->msg_pool[mb->out_offset];
这里的value就是msg的指针。也就是说，是由于mbox->msg_pool中存入的地址不对导致的，或者说，msg_pool中的内容被异常改掉了，现在再往下查也不知道该怎么查了，如果是msg_pool所在的内存被异常踩到了，那怎么去查是谁踩的呢，有什么方法吗？