参照上图Windbg 查表查到的win32k!tagKL结构体,在IDA中自定义结构体准备还原下图v3为win32k!tagKL时,发现v3[5]应该是hkl,不是spkf,原来是忽略了一开始HEAD的长度为8字节,根据结构体4字节对齐原则,应该算两个吧。
再复习下IDA自定义结构体方法:
使用D在同行是切换类型,只有db,dw,dd三种类型。光标在ends那行使用D是增加一行。
右上角mappedto_324表示还不算是本地结构体。
打开LocalTypes窗口,搜索到自己定义的结构体,编辑如上。然后结构体就可以正常导入使用了。