本文详细介绍一下IDA中和结构体有关的高级用法。

当源码的函数中使用了结构体类型的变量时，反汇编代码中对于结构体中成员的获取往往都是通过一个指针+offset来获取的。对于反汇编代码的阅读不是很方案，因此就需要创建结构体，让反汇编/反编译的代码更加友好一些。

0x00 demo

这里使用的源码如下：

#include <stdio.h>
#include <string.h>

struct student{
    char name[16];
    int age;
    char class[16];
};

static char name1[16] = "xiaoming";
static char name2[16] = "xiaogang";

int main()
{
    struct student s1;
    struct student s2;
    s1.age=10;
    s2.age=11;
    strcpy(s1.name, name1);
    strcpy(s2.name, name2);
    printf("student1 age: %d name : %s\n", s1.age, s1.name);
    printf("student2 age: %d name : %s\n", s2.age, s2.name);
    return 0;
}

编译后，用IDA打开。F5反编译效果如下图所示。我们可以看到对于结构体成员的访问不是很友好。因此就需要创建结构体来优化显示效果。

0x01 在IDA中手动创建结构体

  1. 打开创建结构体的 Subview，点击工具栏 View->Open Subview->Structures( Shift + F9)。

  2. 按键盘 I 弹出结构体的创建窗口，输入 Structure name。

  3. 在结构体的 ends 行，按键盘 d 键，创建新的结构体成员。

  4. 在结构体成员初按 d 键，修改数据类型（db dw dd dq），右键点击 Array 可以创建数组。

  5. 结构体创建完成后，效果如下：

  6. 最后，分析代码。确定结构体中的成员在反汇编代码中的名称。之后，修改反编译代码中该 成员的类型，按 y 修改为 struct name（这里修改为 student）。修改完成后，最终效果如下：

0x02 通过头文件创建结构体

从上面可以看出：手动创建结构体的过程比较复杂。如果有头文件，或者我们我们可以自己手写结构体，之后就可以通过导入结构体的方式来创建结构体。

导入结构体的步骤如下：

  1. 打开 Local Types subview：View->Open Subviews->Local Types(SHIFT+F1)

  2. 输入结构体定义：

  3. 添加成功后，效果如下：

  4. 之后和之前的步骤一致，在反编译中代码按 y 修改变量的 Type 即可。

0x03 导入标准结构体

前面介绍了两种创建结构体的方式，当然还可以导入 IDA 中已有的结构体，在 Structures 中 创建结构体时，按 I 之后，选择已有的结构体即可。如下图所示。

0xFF 参考

  1. 《IDA Pro 权威指南 第二版》8.2 创建 IDA 结构体