IDA API-查询cdecl函数的参数数量

(GetStrucSize(GetFrame(addr)) - GetFrameSize(addr))/4

#1 楼

对于cdecl，调用者需要清理堆栈。因此，在函数调用之后的某处，必须有一个从堆栈中删除参数的堆栈操作（如在调整堆栈指针中删除一样）

PUSH 0xABCDEF01
CALL function
ADD ESP, 4 ; sizeof(DWORD) (the parameter)

它不需要直接在通话后。 （我认为VS08有时会将返回值检查放在它前面）
所以这同样有效。

PUSH 0xABCDEF01
CALL function
TEST EAX, EAX
ADD ESP, 4 ; sizeof(DWORD) (the parameter)
; A conditional jump probably

因为这是

PUSH 0xABCDEF01
CALL function
POP EAX 

因为EAX持有DWORD，因此从堆栈中删除了sizeof(DWORD) == 4个字节。 （这显然对于所有其他通用扩展寄存器也适用）。
（可能对于N参数来说，可以使用N POP，但是我敢肯定没有编译器会这样做，并且对于每个N> 2，将会导致更大的代码，因此在手写汇编中也将是不现实的。）

不存在最大N条指令，您可以在调用后检查以确定该堆栈操作是否为清理代码。但是我认为5几乎适用于所有情况（如果您偶然知道此函数是CDECL，那么请检查所需的数目）

也适用于返回值不是的函数重要但在检查另一个函数的返回值之前被调用，可以保存一个这样的变量：

CALL function1
PUSH EAX ; Save EAX
PUSH something
CALL function2
POP EAX ; Remove the something parameter
POP EAX ; Restore the return value of function1

您也可以尝试计算PUSH，但这会带有自己的中间指令-这是很常见的：

PUSH something
LEA EAX, something_else ; Get a pointer to something_else
PUSH EAX 
PUSH more
CALL function

因此，一旦遇到非标准指令，您就无法停止工作。 PUSH。

总而言之，没有完美的解决方案，但我认为两者都可以带来相当可观的价值。您选择哪个（或同时选择两个？）取决于您，IMO第一个（搜索堆栈清理）更容易实现。