IDA逆向：结构体的逆向

源代码：

int _tmain(int argc, _TCHAR* argv[])
{
    struct v1 {
        int a;
        short b;
        char c;
        int d;
        double e;
    };
    v1* heap_struct = (v1*)malloc(sizeof(v1));
    heap_struct->a = ;
    heap_struct->b = ;
    heap_struct->c = ;
    heap_struct->d = ;
    heap_struct->e = ;
    return ;

}

逆向分析：

结构体中的数据字段是通过名称访问的，但编译器将名称访问转换为数字偏移
所以在反汇编中难以区别
堆分配结构体

push                  ; Size
call    ds:__imp__malloc
add     esp,
cmp     esi, esp
call    j___RTC_CheckEsp
mov     [ebp+heap_struct], eax
mov     eax, [ebp+heap_struct]
mov     dword ptr [eax],
mov     eax,
mov     ecx, [ebp+heap_struct]
mov     [ecx+], ax
mov     eax, [ebp+heap_struct]
mov     byte ptr [eax+],
mov     eax, [ebp+heap_struct]
mov     dword ptr [eax+],
mov     eax, [ebp+heap_struct]
fld     ds:__real@
fstp    qword ptr [eax+10h]

原类型     大小             偏移
int         （dword）
short       （）
char        （byte）
int         （dword）
double      （qword）      

　　为默认4字节对齐

总结：全局和栈分配方式中的结构体 与  普通变量相似 难以区分