如何从 object/class 中找到第一个字段？

Question

早上好，在 this post 中，我正在寻找一种在转储中查找 CString 条目的方法，但我仍然是 :-)
根据 Windbg 的 x /2 结果中提到的第一个字段，似乎可以找到与对象相关的条目。对于具有虚拟方法的对象，这似乎是 __vptr 字段（对应于 *vftable' 条目），我认为这个问题对于 [=12= 的特定情况来说很容易] class.

在源代码 (C:\Program Files (x86)\Microsoft Visual Studio17\Professional\VC\Tools\MSVC\<version>\crt\src\vcruntime\undname.cxx) 中，我找到了以下条目：

#if ( !NO_COMPILER_NAMES )
    "`vftable'",                          <--- vftable: the one I'm working with
    "`vbtable'",
    "`vcall'",
    "`typeof'",
    "`local static guard'",
    "`string'",
    "`vbase destructor'",
    "`vector deleting destructor'",
    "`default constructor closure'",
    "`scalar deleting destructor'",
    "`vector constructor iterator'",
    "`vector destructor iterator'",
    "`vector vbase constructor iterator'",
    "`virtual displacement map'",
    "`eh vector constructor iterator'",
    "`eh vector destructor iterator'",
    "`eh vector vbase constructor iterator'",
    "`copy constructor closure'",
    "`udt returning'",
    "`EH", //eh initialized struct
    "`RTTI", //rtti initialized struct
    "`local vftable'",
    "`local vftable constructor closure'",
#endif // !NO_COMPILER_NAMES

这让我想知道我是否可以使用提到的条目之一作为对象第一个字段的候选者。我已经发现 windbg 的 x /2 *!ATL::CStringT* 命令中有一个条目，以 scalar deleting destructor' 结尾，但我不知道我是否可以将其用作 "first field"候选人

P.s。如果您想知道 "But why don't you just try it?"，我的转储文件中存在的问题是 CStringT 对象包含相当多的奇怪字符，这使得很难判断我是否在做正确的事情并且看到奇怪但正确的字符，或者我看到的是虚假结果。

提前致谢

Answer 1

好像CString只是封装了一个指针，没有任何虚方法，所以没有vtable。

这是一个小例子：

#include <atlstr.h>

void SayHello(CHAR* arg)
{
    CStringA cstring = arg;

    CStringA message = "Hello " + cstring + "!";

    printf("message: %s", (LPCSTR)message);
}

int main(int argc, CHAR** argv)
{
    if (argc < 2)
        return -1;

    SayHello(argv[1]);

    return 0;
}

将生成的可执行文件放入 Windbg 并以 world 作为参数启动。

放个BP然后走

0:000> bp ConsoleApplication1!SayHello
0:000> bl
     0 e Disable Clear  x86 00000000`01041420     0001 (0001)  0:**** ConsoleApplication1!SayHello
0:000> g

BP被击中；只需要一步就可以通过 cstring local var init:

Breakpoint 0 hit
ConsoleApplication1!SayHello:
01041420 55              push    ebp
0:000:x86> p

您可以使用dt命令（显示类型）来查看类型中有哪些字段。在这里使用查看 cstring local var:

0:000:x86> dt cstring
Local var @ 0x114f944 Type ATL::CStringT<char,ATL::StrTraitATL<char,ATL::ChTraitsCRT<char> > >
   +0x000 m_pszData        : 0x01224e20  "world"

CString中只有一个字段，它的名字是m_pszData，它只是一个指针：

0:000:x86> dx -r1 ((ConsoleApplication1!char *)0x1224e20)
((ConsoleApplication1!char *)0x1224e20)                 : 0x1224e20 : "world" [Type: char *]

sizeof 局部变量上的运算符只给出 4:

0:000:x86> ?? sizeof(cstring)
unsigned int 4

通过da确认：

0:000:x86> dp cstring L4
0114f944  01224e20 3ec0fed1 0114f998 01042bf1

0:000:x86> da 01224e20 
01224e20  "world"

您将无法在转储中找到 CString 个实例，因为它们只是指向数据的指针。

如何从 object/class 中找到第一个字段？

How to find the first field from an object/class?

c++

windbg

dump

pykd