逆向尋找MFC程序中消息回調函數地址

用IDA打開exe文件，在Imports表中找到GetCommandMap函數，兩次交叉引用，找到GetCommandMap在rdata數據段中的位置。GetMessageMap函數就在它上面

地址401250處代碼如下

地址403618處數據如下

根據下面的源碼，知道403540這裏就是真正的函數地址

MFC中消息定義格式如下

在IDA中加入這個結構圖

地址403540的數據按照結構體解析如下

 

和代碼中一樣

 和用工具查找的地址一樣

此工具下載地址：https://bbs.pediy.com/thread-170033.htm