如何创建函数原型以识别IDA Pro中通过引用传递的参数

#1 楼

我的猜测是，函数签名应类似于：

int __usercall Call_HTTP@<eax>(int x, int y, void* http_object@<edi>);

__usercall表示该函数的调用约定不是标准的（例如stdcall，cdecl等），因为函数在堆栈上传递了两个参数，而在edi中传递了一个参数。

@<eax>：函数在eax寄存器中返回一个值。

int x和int y在堆栈上传递。

void* http_object@<edi>：http_object是通过edi寄存器传递的void *。

您可以通过为http_object添加适当的结构来更改其类型。将此对象传递给已知的IDA结构，并传递实型而不是void*。有关函数签名的更多信息，请参见IDA帮助中的Set function / item type。

编辑

正确的签名应为：

int __userpurge Call_HTTP@<eax>(int x, int y, void* http_object@<edi>);

@itsbriany所述：


对于__stdcall和__userpurge调用约定，被调用方清理堆栈。
在q4312中079q和__cdecl约定，调用方将清理堆栈。