WhyCan Forum(哇酷开发者社区)

继续研究。C++对象内存布局虽然没有固定标准，是编译器实现的，但基本是按照《深度探索C++对象模型》的样子。
一个带有虚函数的类的指针，指向的内存区域最开头应该是类的虚函数表指针。该指针指向一个数组，数组成员是函数指针。

在上面的例子中，当调用p->g();时，由于p指向的内存区域全是0，所以被当做是地址0x0处开始为虚函数表。
g()是类的第二个虚函数，所以把地址0x4当做函数指针。
打印出地址0x0附近的内存看：

0: 0xea00000d
1: 0xe59ff014
2: 0xe59ff014
3: 0xe59ff014
4: 0xe59ff014
5: 0xe59ff014
6: 0xe59ff014
7: 0xe59ff014
8: 0x80000260

看到0x4地址处的内容是0xe59ff014，接下来会把0xe59ff014当做函数地址去调用。就是经过这个非法函数调用后，看门狗失效并且死机！
复现此bug的代码可以再精简为：

    typedef void (*FuncPtr)();
    FuncPtr f = (FuncPtr)0xe59ff014;
    f();  // 触发看门狗bug

继续做实验发现，并不是只有这一个特殊的地址调用会触发bug，实际上有很大范围的地址都能引起看门狗无效。
从 0xdba00000 ~ 0xffff4040，这个区域内的地址，如果赋值给函数指针来调用，都会引发看门狗失效bug！！小于0xdba00000或大于0xffff4040的地址调用，则能正常死机并触发看门狗。（具体地址会变化，还跟CPU频率有关，不是完全精确的范围。）
这个范围是很大的，也就是说如果程序写错了，还是会有挺大的可能性遇到此bug。

比如考虑下面这个常见的野指针访问代码，触发看门狗bug的概率并不小。

struct A
{
    int data;
    void (*func)();
};

A* a = (A*)malloc(sizeof(A));
// ...
free(a);
// a被释放，指向的地址重新分配后写入了其他内容
// ...
a->func();  // 野指针使用，危险！

嗨，你能分享你的Delay（）过程吗？ 我从uboot移植了地雷，只有timer0在工作并且时基错误，timer1根本不工作

最近编辑记录 hoel (2020-05-24 04:17:25)

我那个只是示意代码。是要向那块被释放的地址里写入合适的数据，使a->func的值为0xdba00000 ~ 0xffff4040。

用mmu，比如映射到一个死循环上，然后让死在那里，就能触发wdt

我也还不知如何解决。

兄弟可能没有仔细看我们讨论的是什么问题，我们现在讨论的时当不小心野指针时，正好指向这一地址，系统会死。
正常情况下死了的时候看门狗会将设备重启，但这种情况下看门狗不起作用，只能人工去重启。
而不是在讨论为什么要指向这个地址。。。

多谢，简单测试了一下，这个方法是可以解决问题的。现在我是把从0xd0000000到0xffffffff的地址映射到0x90000000。
只测试了一些地址，也不敢保证所有的地址都没问题。毕竟不知道该bug产生的原理。不过确实是暂时解决了。