typedef struct _EVENTLOGRECORD {
    DWORD  Length;     
    DWORD  Reserved;
    DWORD  RecordNumber;
    DWORD  TimeGenerated;
    DWORD  TimeWritten;
    DWORD  EventID;
    WORD   EventType;
    WORD   NumStrings;
    WORD   EventCategory;
    WORD   ReservedFlags;
    DWORD  ClosingRecordNumber;
    DWORD  StringOffset;
    DWORD  UserSidLength;
    DWORD  UserSidOffset;
    DWORD  DataLength;
    DWORD  DataOffset;        
    //
    // Then follow:
    //
    // TCHAR SourceName[]
    // TCHAR Computername[]
    // SID   UserSid
    // TCHAR Strings[]
    // BYTE  Data[]
    // CHAR  Pad[]
    // DWORD Length;
    //
} EVENTLOGRECORD;

这是MSDN上定义的日志事件声明格式，DWORD  Length为本结构体的长度，
DWORD  DataOffset是从本结构体头算起的偏移位置，看了一个实际的windows日志文件格式，大多数都没什么问题，只是昨天偶然发现一条，DataOffset大于了Length，这一下子不是出了结构体了？搞不懂，请高手指点一下，不尽感激

[课程]FART 脱壳王！加量不加价！FART作者讲授！