010脚本编写入门
学过C/C++的您会发现010 Editor的文件解析脚本（即010脚本）看起来跟C/C++的结构体定义比较相似。然而文件解析脚本不是结构体，而是一个自上而下执行的程序，所以它可以使用if、for、while等语句。
在010脚本中，声明的每个变量都对应着文件的相应字节。比如以下声明：
char header[4];
int numRecords;
这意味着，文件的首4个字节将会映射到字符数组header中，下4个字节则会映射到整型变量numRecords中，并最终显示在解析结果中。
然而，在编写010脚本时可能会遇到这种情况：需要定义一些变量，但是这些变量并不对应着文件中的任何字节，而仅仅是程序运行中所需要的，这时可以使用local关键字来定义变量。比如以下声明：
local int i, total = 0;
int recordCounts[5];
for(i=0; i < 5; i++)
total
+= recordCounts[i];
double records[total];
这样，i和total就不会映射到文件中去，也不会在解析结果中显示出来。
另外，在数据的定义中，可以加上一些附加属性，如格式、颜色、注释等。附加属性用尖括号<>括起来。常用的属性包括以下几种：
<format=hex|decimal|octal|binary,
fgcolor=<color>, bgcolor=<color>, comment= "<string>",
open=true|false|suppress, hidden=true|false,
read=<function_name>,
write=<function_name> >
下面给出一个简单的实例。假设有一种文件格式如图17.3.2所示，我们可以看出，它由一个Header和若干个Record数据块组成。在Header中，numRecords表示Record的个数，而在Record中，根据Header中version值的不同，data的类型也不同。
根据文件格式，我们可以写出如下脚本：
struct FILE {
struct
HEADER {
char type[4];
int version;
int numRecords;
} header;
struct RECORD {
int len;
char
name[20];
if( file.header.version == 1 )
char data[len];
if( file.header.version == 2 )
byte data[len];
} record[ file.header.numRecords ];
} file;
本文节选自《0day安全：软件漏洞分析技术（第2版）》一书。
图书详细信息:
http://www.cnblogs.com/broadview/archive/2011/07/11/2103329.html