逆向分析中如何读取类实例this[0x657]的变量值？

首先纠正你最核心的错误：伪代码里的this是_DWORD*类型，数组索引是按元素大小偏移的，不是直接加字节数。

偏移计算逻辑 #

this[0x657]等价于*(this + 0x657)，因为this是4字节的DWORD指针，所以实际内存偏移是：
0x657 * sizeof(DWORD) = 0x657 * 4 = 0x195C
你之前直接用instance + 0x657是按字节偏移算的，相当于只挪了0x657个字节，而不是0x657个DWORD元素，自然找不到正确值。

具体读取步骤 #

1. 确认程序位数：
   • 如果是32位程序，用实例指针地址 + 0x195C访问内存；
   • 如果是64位程序，伪代码里的_DWORD*可能是IDA简化显示，实际是QWORD指针，偏移就是0x657 * 8 = 0x295C，但从函数返回int来看，大概率是32位程序。
2. 验证实例指针有效性：
   • 确保你拿到的instance是类的起始地址，别把虚表指针当成实例地址（虚表指针通常是实例第一个成员，地址是instance本身的值）；
   • 可以用伪代码里其他已知的this[N]操作反向验证：比如找到一个你知道值的成员，计算它的字节偏移，去内存里核对，确认实例指针没问题。
3. 工具里读取：
   • IDA里选中实例指针，按G输入instance + 0x195C，查看该地址的DWORD值；
   • x64dbg里直接在内存窗口输入[instance + 0x195C]查看对应值。

其他可能的坑 #

• 该成员是延迟初始化的：只有调用过sub_858F90后才会被赋值，要确保函数已经执行过再读取；
• 存在继承导致的this指针调整：如果是多重继承/虚继承，函数开头可能有this = this + 某个偏移的操作，这时候得先找到函数里实际用的this基地址，再算偏移。

内容的提问来源于stack exchange，提问作者Mov Eax