009、结构体和类

反汇编中的结构体与类

源码层面，struct 和 class 的默认访问权限不同；生成机器码后，public、private、protected 通常不再形成运行时边界。反汇编主要看到：

因此恢复类型时更适合先写“候选结构体”，再逐步确认它是否对应 C++ 类。

没有继承和虚函数时，对象通常按成员声明顺序安排，但会受内存对齐影响：

struct Record {
    char flag;   // offset 0
    int value;   // 常见 offset 4
    short code;  // 常见 offset 8
};

中间空出的字节是填充，结构体末尾也可能补齐到对齐边界。

成员顺序、填充、空基类优化和对象布局都与编译器 ABI 有关。不要把某一次 VS 构建的 sizeof 当成跨平台标准。

若多个函数都基于同一对象地址访问固定偏移：

1 2	mov eax, dword ptr [rcx+8] mov byte ptr [rcx+0Ch], 1

可以暂时恢复为：

struct Candidate {
    unsigned char unknown_00[8];
    int field_08;
    bool field_0C;
};

不要急于给字段取业务名称。先按 field_08、field_0C 记录，等字符串、API、比较逻辑或数据流提供语义证据后再重命名。

非静态成员函数具有隐藏的对象参数 this：

识别 this 的证据：

静态数据成员属于类，但不属于某个对象实例。机器码中通常像全局变量一样通过固定模块地址访问，因此不会计入对象大小。

静态成员函数没有 this 参数，在机器码层面更接近普通函数。它是否属于某个类，往往依赖符号、调用上下文或业务关系判断。

普通成员函数代码不存放在每个对象中。只有数据成员和实现对象模型所需的隐藏字段占据对象空间。

标准要求不同完整对象具有可区分地址，所以空类对象通常至少占 1 Byte；编译器也可能对空基类应用优化。

对象按值传递时，ABI 可能：

大型或非平凡对象的表现与编译器、架构和优化选项密切相关。应同时分析调用点与被调函数，不能仅凭某一次复制下结论。

小型平凡对象可能直接通过寄存器返回；较大或非平凡对象常通过隐藏的返回缓冲区完成：

1
2
3

调用者准备结果空间
把结果空间地址作为隐藏参数传入
被调用函数在该空间构造结果

现代编译器还可能应用返回值优化，省去看似必要的临时对象与拷贝。

1. 选定候选对象地址
2. 汇总所有固定偏移访问
3. 标记每个偏移的访问宽度
4. 区分读、写和取地址操作
5. 根据调用关系聚类成员函数
6. 补充对齐与未知字段
7. 用动态调试验证对象实例