AskaEth/MeowOS-SDK
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
168 Commits 2 Branches 0 Tags
342c612358a6269625db251ae7321ff1be353da9
Commit Graph
4 Commits
Author SHA1 Message Date
AskaEth 342c612358 sdk: 修 ILP32 尺寸算术溢出 — 畸形 BMP 经公开入口 SIGSEGV（与主仓同源补丁） 
meow_png_stream.c 的 BMP 路径用 32 位 long 算 rowsize=(w*bpp+31)/32*4，
w≥2^27 且 bpp=32 时 w*bpp 回绕 → rowsize=0 → malloc(0)，随后采样下标
sx=(int)((long)tx*w/tw) 同样溢出成负数，row+sx*4 越界读。

实测（zig cc --target=arm-linux-musleabi，ILP32，与 mipsel 同数据模型）：
  修复前 w=0x07FFFFFF → r=0（安全）
          w=0x08000000 → SIGSEGV(139)   只需 54 字节 BMP 头
          w=0x10000000/0x40000000 → SIGSEGV
  同一文件在 LP64 宿主 → NULL，宿主测试天然看不到这一类
  修复前走 stb 路径 → NULL，即合并图像栈后属行为退化

改法（只加闸，合法尺寸的数值路径不变）：
- MZP_MAX_DIM (1<<20) 守卫 + mzp_bytes_ok() 64 位校验
- 声明尺寸先取 int 再升 long long；h=INT_MIN 用 -(long long)hi 取绝对值
- rowsize / 行偏移 off / 采样下标 sx 全部升 64 位，sx 夹在 [0,w-1]
- fseek 前 off > LONG_MAX 拒绝；目标 RGBA 字节数 64 位验后再 malloc
- meow_jpeg.c 同类审计：mj_layout() 返回 unsigned long long + MJ_LAYOUT_BAD、
  mj_sof() 的 target_bytes/plane、mj_output() 的 y*vh/x*vw、
  meow_img_target_dims() 与 mj_pick_n() 的 h*maxdim 全部升 64 位

新增 S17 回归（10 组畸形 BMP + 2 个合法正例 + 1 个 PNG 回绕点）。
可证伪性：旧代码 + 新测试在 ARM32 上 exit 139，新代码 ALL PASS。
S17 的 32 位覆盖需 ARM32 交叉编译（宿主 LP64 只能固定 NULL 契约），
复现命令写在 test_meow_img_stream.c 文件头的「ILP32 回归」小节。

验证：本仓 test_meow_img_stream ALL PASS；sdk/build_sdk.sh 34 成员；
tuku 四套脚本全绿（run_tests 644 PASS / zip 106 / cbz 296 / webtoon PASS）。
 2026-11-06 21:38:47 +08:00
AskaEth 6c8a1d3925 fix: 扫描结尾不再丢最后一个 MCU + 畸形 SOF 尺寸硬闸（M23 r2 P1-A/P1-B） 
P1-A（像素错误）：mj_boundary() 在「over 且 marker 非 RSTn」时 return 0 提前退出
扫描。熵码位缓冲最多 9 位前瞻，会在最后一个 MCU/块**之前**把扫描结束后的 marker
（DHT/EOI）吃掉；此时最后 1~2 个 MCU 的有效比特还在 bitbuf 里，return 0 把它们丢掉，
分量平面 memset(128) 的灰底直接露出来（低熵/纯白渐进式右下角 #808080）。
修：扫描循环本来就知道确定的 MCU/块数 —— 一律继续解完（位耗尽后 mj_eb 返回 0 做
零填充），marker 交给外层主循环。实测（纯白 2000x3000 progressive 无 restart）：
修复前全图最小通道 128 / 与 stb 最大差 127 / >40 差值的通道 9 个；修复后
最小通道 253~255、最大差 ≤2、>40 通道 0。

测试加固（评审指出旧断言是抽样蒙混）：
- S12「与无 restart 逐字节一致」改为**全图 memcmp**（去掉 64×64 网格 MAD<0.1 的兜底）；
  修复后 9 档 restart 全部逐字节一致。
- 新增 S15：纯白 2000x3000 progressive（q50/60/70/80，无 restart）+ mostly-white q95，
  断言全图最小通道/右下角 24×24 最小通道 ≥250（丢 MCU 必露 128）、与 stb 全图逐像素比较。
  用 HEAD(11a4fcd) 的 meow_jpeg.c 重编同一测试：4 档纯白全部 FAIL（min=128,
  >40 通道 9），修复后全 PASS。

P1-B（内存放大/安全）：mj_sof() 按 SOF 声明尺寸分配平面，降档循环在 base_n 已为 1
时不再生效，17~23 字节的 `SOI+SOF0(65535×65535)+EOI` 会让公开入口 _dim(720)
分配并 memset 64MiB（1 分量）/96MiB（3 分量）后才返回 NULL。
修：降档循环之后补硬闸 `if (plane_bytes + target_bytes > MJ_PEAK_CAP) return 0;`
→ 回退 stb（同文件 stb 是 0.02MiB 安全失败）。
回归 S16：构造 SOF 65535²（1/3 分量）→ 后端返回 0、公开入口 NULL、峰值 0.02MiB
（修复前 64.00 / 96.00MiB）。

meow_jpeg.h 注明「峰值只与输出尺寸相关」的适用范围：畸形/超大声明尺寸直接拒绝（安全失败）。

验证：test_meow_img_stream ALL PASS（含 ASan 整轮 rc=0 无报告）；test_meow_img_budget /
test_meow_img_color ALL PASS；run_tests.sh rc=0（zip 106 / cbz 296 / membudget PASS）；
run_webtoon_tests.sh rc=0；build_sdk.sh 零警告，MIPS32 rel2；体积 meow_jpeg.o 17,212B
+ meow_png_stream.o 8,456B。峰值不变（修复不增加分配）。
 2026-11-06 11:21:03 +08:00
AskaEth 11a4fcd730 fix: 畸形 DHT 拒绝 + 渐进式 restart 重同步（M23 r1 P1-1/P1-2） 
P1-1（内存安全）：mj_huff_build 构造 9 位快表前校验规范码空间
（code + bits[l] > (1<<l) → 表非法），填表时再夹一道 <512 边界；mj_dht 失败
即返回 0 → 后端拒绝 → 回退 stb。此前过订阅 DHT（如「长度 2 的码 100 个」）会把
fast[512] 下标推到 12799，28~220 字节的畸形 JPEG 就栈溢出（ASan 实测
stack-buffer-overflow，非 ASan 直接 SIGSEGV/SIGBUS）。
回归：码长 1..4 × 符号数 3..255 共 1012 组畸形 DHT 全部后端拒绝、无崩溃；
「有效 JPEG + 注入坏 DHT」走拒绝 + 回退（不花屏）。

P1-2（能力）：三处扫描循环的区间重同步统一到 mj_boundary，**只在 total == rst
（编码器区间长度）时重同步**。原实现一见「over && marker∈D0..D7」就重同步，但熵码
位缓冲有最多 9 位前瞻，over 会在区间真正结束前 1~2 个 MCU 置位——提前重同步会丢掉
bitbuf 里本区间剩余块的有效比特，随即失步（渐进式 DC 扫描每块仅 ~1 bit，前瞻能跨过
整个 MCU）。这正是 Pillow restart_marker_blocks=1/2/3/4/5/8/16/64/200 的渐进式
100% 回退 stb（25.8MiB）的根因。另修 mj_restart 裸扫把 FF 00（数据字节 0xFF 的填充）
里的 00 误当 marker。
回归：9 个渐进式 + restart 夹具全部 BACKEND=1、峰值 1.86MiB（与无 restart 相同）、
与同编码无 restart 文件逐字节一致（mad=0.000）；baseline + restart 仍逐字节一致。

附带（评审 P2 两项，改动极小且已验证）：
- PNG 8bit gray/RGB 的 tRNS 透明接通（8bit 采样值在 tRNS 低字节），与 stb 逐点 alpha 一致；
- 拒绝 16bit 量化表（只属 12bit 精度；收下会让 F*qt 在 mj_accim 里 int32 溢出，UB）。
- meow_img_load_file_step 的 JPEG 走真缩解后端（PNG/BMP 暂留 stb：阅读器预算模型仍是
  M22「整幅物化」口径，待 M27 同步后放开）。

验证：ASan 构建全 PASS；test_meow_img_stream 111 项全 PASS；test_meow_img_budget /
test_meow_img_color 全 PASS；tuku run_tests.sh rc=0（zip 106 / cbz 296，含 membudget）、
run_webtoon_tests.sh rc=0；build_sdk.sh 零警告，MIPS32 rel2 目标码。
峰值不变（修复不增加分配）：2000x3000 baseline/progressive 1.86MiB、PNG 1.33MiB。
体积：meow_jpeg.o 17,284B + meow_png_stream.o 8,456B = 25.1KB。
 2026-11-05 22:39:09 +08:00
AskaEth d84dd949c7 SDK: 图片解码真缩解后端 —— JPEG DCT 域 / PNG 逐行 / BMP 跳行（M23） 
stb 的 stbi_load_scaled 是「先整幅解、再重采样」：2000x3000 baseline 峰值 10.07MB、
渐进式 25.84MB、1600x2400 PNG 25.65MB，真机解码余量只有 ~4.2MB。新增解码后端在
解码期只算目标分辨率，峰值只与输出尺寸相关：

- meow_jpeg.c：自写纯 C JPEG 解码（baseline + progressive，Huffman）。按
  ceil(8*maxdim/长边) 选 N 点 DCT 缩解（N=1..7），基函数为「8 点 IDCT 按像素区间
  盒式平均」的 Q12 定点（DC 恒为 F00/8，N 之间亮度一致）；系数边解边累加进分量平面，
  不留整幅系数阵列；渐进式跳过精细化扫描（Ah>0）、只解各频带首次扫描 —— 渐进式与
  baseline 内存足迹相同（这是 libjpeg 系列做不到的：它对渐进式必须整幅驻留 JBLOCK）。
  不支持项（4 分量 CMYK/YCCK、算术/无损/分层、12bit 精度）返回 0 回退 stb。
- meow_png_stream.c：libz 逐行 inflate + 反滤波，只把需要的列写进目标行；
  gray/gray+A/RGB/RGBA/调色板，1/2/4/8/16bit（16→8 取高字节）；Adam7 等回退 stb。
  BMP 按目标行 seek + 行内跳列（8bpp 调色板/16bpp RGB555/24/32bpp），不读全图。
- meow_ui_img.c：load_file_dim / load_mem_dim 先进后端，失败/不支持回落 stb 旧路径
  （stbi_load_scaled + 精修）；输出尺寸与 meow_img_downscale 同公式，对外语义不变。

宿主实测（--wrap malloc，maxdim=720，M23 前后同一夹具）：
  2000x3000 baseline     10.07 → 1.86 MiB
  2000x3000 progressive  25.84 → 1.86 MiB
  1600x2400 PNG          25.65 → 1.33 MiB
  1600x2400 BMP          15.97 → 1.32 MiB
  4MP/8MP/12MP JPEG       9.67/13.37/20.12 → 2.30/2.20/2.29 MiB（不随分辨率线性增长）

sdk/test_meow_img_stream.c：峰值断言（≤2.5MiB）、与 stb 整幅+降采样的像素比对
（平均差 4.4-13.7/255，块均值结构相关 ≥0.88）、内存入口逐字节一致、回退矩阵
（CMYK/1bpp BMP/Adam7 PNG）、restart marker、缩解阶扫描 N=4/5/7、坏图容错。
build_sdk.sh 增加 meow_jpeg / meow_png_stream 两个 TU（MIPS32 -Os 零警告）。
体积：目标码 +24.9KB（meow_ui.a +25.5KB），picbrowser 静态二进制 +18.2KB。
 2026-11-05 21:33:54 +08:00