این کار تحلیل توابع بعدی رو هم ساده‌ تر میکنه چون لازم نیست هر بار از اول محاسبه کنید هر آفست به کدوم بخش حافظه اشاره داره

تمرین:

فرض کنید توی یه فایل باینری این دستورها رو پیدا کردید

Asm

mov eax, dword ptr [rbx]
cmp eax, 0
mov ecx, dword ptr [rbx+8]
mov byte ptr [rbx+12], 1

با توجه به این دستورها مشخص کنید

چه آفست‌ هایی از حافظه استفاده شدن و اندازه هر دسترسی چقدره

چه نوع فیلد هایی ممکنه در این آفست‌ ها وجود داشته باشن

چرا هنوز نمیتونیم با اطمینان بگیم ساختار اصلی دقیقا چه فیلدهایی داشته

نکته اصلی این قسمت اینه که توی مهندسی معکوس لازم نیست از همون اول ساختار اصلی رو بدونید با جمع کردن شواهد از آفست‌ها اندازه دسترسی‌ ها و نحوه استفاده از داده‌ها میتونید قدم‌ به‌ قدم یه مدل قابل‌ قبول از ساختار حافظه بسازید

@reverseengine