0211、Windows 逆向入门：数组、指针与结构体逆向

这一部分把高级语言数据结构翻译成内存布局。数组、指针、结构体和对象成员，在反汇编里最后都会变成地址计算、偏移访问和间接调用。

1、内容范围

一维数组是连续内存。

1	int nums[4] = {1, 2, 3, 4};

寻址公式：

1	元素地址 = 数组基址 + 下标 * 元素大小

反汇编中常看到：

1	mov eax, [base + index * 4]

这往往对应 int 数组访问。

二维数组本质上仍然是连续内存。以 int a[3][4] 为例：

1	a[row][col] 地址 = base + (row * 4 + col) * sizeof(int)

复盘时先确认每行列数，再还原索引计算。

越界问题只按防护复盘：数组访问超过边界后，可能覆盖邻近变量、保存寄存器、返回地址或堆元数据。

数组索引乘元素大小时，编译器可能用移位优化。

指针在汇编里就是地址。区别在于是否加了中括号：

1 2	mov eax, ecx ; 复制地址/值 mov eax, [ecx] ; 把 ecx 当地址，读取内存

多级指针表现为多次间接访问：

int **pp;

可能对应：

1 2	mov eax, [pp] mov eax, [eax]

复盘时把每一级画出来，不要跳步。

直接调用和间接调用的区别：

1
2
3

call 401000h       ; 直接调用
call eax           ; 间接调用，eax 保存函数地址
call [addr]        ; 从内存取函数地址再调用

函数指针、虚函数、多态、回调都会出现间接调用。

结构体成员访问通常是“结构体基址 + 字段偏移”。

typedef struct User {
    int id;
    int age;
} User;

可能看到：

1	mov eax, [ecx+4] ; 读取 age

要结合字段大小、对齐和访问顺序还原结构体。

C++ 成员函数会隐式接收 this 指针。x86 thiscall 常用 ECX 传递 this，x64 下则按统一调用约定处理。