在设计调用约定时,x64 体系结构利用机会清除了现有 Win32 调用约定(如 __stdcall.__cdecl.__fastcall._thiscall 等)的混乱.在 Win64 中,只有一个本机调用约定和 __cdecl 之类的修饰符被编译器忽略.除此之外,减少调用约定行为还为可调试性带来了好处. 需要了解的有关 x64 调用约定的主要内容是:它与 x86 fastcall 约定的相似之处.使用 x64 约定,会将前 4 个整数参数(从左至右)传入指定的 64 位寄存器: RCX: 1s

C 语言有 __cdecl.__stdcall.__fastcall.naked.__pascal. C++ 语言有 __cdecl.__stdcall.__fastcall.naked.__pascal.__thiscall,比 C 语言多出一种 __thiscall 调用方式. 下面详细介绍如上六种调用方式: 1.__cdecl __cdecl调用约定又称为 C 调用约定,是 C/C++ 语言缺省的调用约定.表示C语言默认的函数调用方法,参数按照从右至左的方式入栈,函数本身不清理栈,此工作由

最近在写一些字符串函数的优化,用到x64汇编,我也是第一次接触,故跟大家分享一下. x86:又名 x32 ,表示 Intel x86 架构,即 Intel 的32位 80386 汇编指令集. x64:表示 AMD64 和 Intel 的 EM64T ,而不包括 IA64 .至于三者间的区别,可自行搜索. x64 跟 x86 相比寄存器的变化,如图: 从图上可以看到,X64架构相对于X86架构的主要变化,是将原来所有的寄存器都扩大了一倍,例如EAX现在扩充成RAX,同时,又新增加了从R8-R15这

在C语言中,假设我们有这样的一个函数: int function(int a,int b) 调用时只要用result = function(1,2)这样的方式就可以使用这个函数.但是,当高级语言被编译成计算机可以识别的机器码时,有一个问题就凸现出来:在CPU中,计算机没有办法知道一个函数调用需要多少个.什么样的参数,也没有硬件可以保存这些参数.也就是说,计算机不知道怎么给这个函数传递参数,传递参数的工作必须由函数调用者和函数本身来协调.为此,计算机提供了一种被称为栈的数据结构来支持参数传递. 栈

0x1 准备工作 1.1.准备工具 IDA:交互式反汇编工具 OllyDbg:用户层调试工具 Visual Studio:微软开发工具 1.2.基础知识 C++开发 汇编语言 0x2 查找真正的main()函数 入口点开始到Main()函数之间的代码都是编译器加进去用于初始化环境用的. main()函数其实是有3个参数的,这取决于Windows系统的机制. 查找方法: 1.字符串搜索法 2.栈回溯法 3.逐步分析法 4.小例子 C源代码: 程序执行的时候会将路径保存在argv字符数组中,因此ar

知识点:  cdecl 函数调用约定  stdcall 函数调用约定  CALL堆栈平衡 配置属性--> c/c++ -->高级-->调用约定 一.cdecl调用约定 VC++默认约定__cdecl .源代码 int __cdecl add1(int a,int b) { return a+b; } .生成汇编代码 /$ PUSH EBP |. 8BEC MOV EBP,ESP |. 8B45 MOV EAX,DWORD PTR SS:[EBP+] |. 0C ADD EAX,DW

Microsoft函数调用约定 对于所有调用共有的约定:ebx.ebp.esi.edi都是calle-save,即由被调用的函数负责它们的保存(如果被调用函数用到了这些寄存器的话) 先看函数调用发生了什么:(win32下)1.所有参数提升到4bytes的倍数2.执行call指令3.将ebx.ebp.esi.edi保存在栈上,这一步称为function prolog4.将返回值放在eax中(返回int64放在edx:eax中,返回double放在浮点寄存器中.复杂的数据结构在caller的栈中分配

函数调用约定描述了如何以正确的方式调用某些特定类型的函数.包括了函数参数在栈上的分配顺序.有哪些参数将通过寄存器传入,以及在函数返回时函数栈的回收方式等. 函数调用约定的几种类型 stdcall,cdecl,fastcall,thiscall,nakedcall,pascal stdcall调用约定为Win32 API所广泛使用.     1.参数是从右往左传递的,也是放在堆栈中.  2.函数的堆栈平衡操作是由被调用函数执行的,故编译文件比cdecl小,不能实现变参函数.   函数的返回值放在e

关于 C/C++ 函数调用约定,大多数时候并不会影响程序逻辑,但遇到跨语言编程时,了解一下还是有好处的. VC 中默认调用是 __cdecl 方式,Windows API 使用 __stdcall 调用方式,在 DLL 导出函数中,为了跟 Windows API保持一致,建议使用 __stdcall 方式. 调用约定跟堆栈清除密切相关.如果写一个汇编函数,给 C/C++ 调用,在 __cdecl 方式下,则汇编函数无需清除堆栈,在 __stdcall 方式下,汇编函数需要在返回(RET)之前恢复

关键字 清理堆栈 参数入栈顺序 函数名称修饰(C) __cdecl 调用函数 右 à 左 _函数名 __stdcall 被调用函数 右 à 左 _函数名@数字 __fastcall 被调用函数 右 à 左 @函数名@数字 thiscall(非关键字) 被调用函数 右 à 左 / 在C语言中,假设我们有这样的一个函数: int function(int a,int b) 调用时只要用result = function(1,2)这样的方式就可以使用这个函数.但是,当高级 语言被编译成计算机可以识别的

C++中的函数调用约定(调用惯例)主要针对三个问题: 1.参数传递的方式(是否采用寄存器传递参数.采用哪个寄存器传递参数.参数压桟的顺序等): 参数的传递方式,最常见的是通过栈传递.函数的调用方将参数压入栈中,函数自己再从栈中将参数取出. 对于有多个参数的函数,调用惯例要规定函数调用方将参数压栈的顺序,是从左往右还是从右往左.有些调用惯例还允许使用寄存器传递参数. 2.函数调用结束后的栈指针由谁恢复(被调用的函数恢复还是调用者恢复): 栈的维护方式:在函数将参数压栈之后,函数体 会被调用,此后需

关于 C/C++ 函数调用约定,大多数时候并不会影响程序逻辑,但遇到跨语言编程时,了解一下还是有好处的. VC 中默认调用是 __cdecl 方式,Windows API 使用 __stdcall 调用方式,在 DLL 导出函数中,为了跟Windows API 保持一致,建议使用 __stdcall 方式. 调用约定跟堆栈清除密切相关.如果写一个汇编函数,给 C/C++ 调用,在 __cdecl 方式下,则汇编函数无需清除堆栈,在 __stdcall 方式下,汇编函数需要在返回(RET)之前恢复

首先讲解一下栈帧的概念: 从逻辑上讲,栈帧就是一个函数执行的环境:函数参数.函数的局部变量.函数执行完后返回到哪里等等. 实现上有硬件方式和软件方式(有些体系不支持硬件栈) 首先应该明白,栈是从高地址向低地址延伸的.每个函数的每次调用,都有它自己独立的一个栈帧,这个栈帧中维持着所需要的各种信息.寄存器ebp指向当前的栈帧的底部(高地址),寄存器esp指向当前的栈帧的顶部(低地址). 注意:EBP指向当前位于系统栈最上边一个栈帧的底部,而不是系统栈的底部.严格说来,“栈帧底部”和“栈底”是不同的概

以下摘自<IDA Pro>,貌似有一些细节之处没有交代清楚呢,需要进一步思考.实践. 了解栈帧的基本概念后,接下来详细介绍它们的结构.下面的例子涉及x86体系结构和与常见的x86编译器(如Microsoft Visual C/C++或GNU的gcc/g++)有关的行为.创建栈帧的最重要的步骤是,通过调用函数将函数存入栈中.调用函数必须存储被调用函数所需要的参数,否则可能导致严重的问题.各个函数会选择并遵照某一特定的调用约定,以表明他们希望以何种方式接收参数. 调用约定指定调用方放置函数所需参数

一. 1.函数调用差别 X64的函数调用,和X86函数调用区别,在于参数的传递不一样了,X64的参数传递不在依靠栈来传,而是寄存器,不过还是具有局限性的 比如只能允许六个寄存器来传,分别是RDI,RSI,RDX,RCX,R8,R9,参数顺序和这个寄存器顺序一样,这样就跳出了栈帧的概念的,也就是意味着 rbp直接退休了,因为查参数,不需要再靠RBP+16来查了,直接通过RSP来查找,十分的方便,不过超出6个参数传递时,还是要通过栈来传递 多余的参数,不过是用RSP来访问的,比如这张图 返回值还是存

函数是任何一门高级语言中必须要存在的,使用函数式编程可以让程序可读性更高,充分发挥了模块化设计思想的精髓,今天我将带大家一起来探索函数的实现机理,探索编译器到底是如何对函数这个关键字进行实现的,并使用汇编语言模拟实现函数编程中的参数传递调用规范等. 说到函数我们必须要提起调用约定这个名词,而调用约定离不开栈的支持,栈在内存中是一块特殊的存储空间,遵循先进后出原则,使用push与pop指令对栈空间执行数据压入和弹出操作.栈结构在内存中占用一段连续存储空间,通过esp与ebp这两个栈指针寄存器来保存

stdcall和cdecl: stdcall和cdecl 压栈方向都是从右到左 区别在于c约定是调用方在函数返回后add esp,n指令清除堆栈中的参数,而stdcall在被调函数内使用ret n来清理堆栈内的参数. 另外c约定是可以使用可变数量参数的,而stdcall不可以,这是因为c约定清理工作由调用方做,调用方知道实际传入了多少参数,占用多大空间.而stdcall由被调方清理参数,如果用可变参数被调方不容易获取参数数量和尺寸. fastcall和stdcall类似 只不过最左两个参数使用e

指令 参数存放位置 参数传递顺序 参数内存管理 使用地方 Register CPU寄存器 从左到右 被调用者 默认,published属性存取方法必须使用 Pascal 栈 从左到右 被调用者 向后兼容 Cdecl 栈 从右到左 调用者 调用c/c++共享库 Stdcall 栈 从右到左 被调用者 API调用 Safecall 栈 从右到左 被调用者 API调用,双接口的方法必须使用

[说明] 1.  本文是意译,加之本人英文水平有限.windows底层技术属菜鸟级别,本文与原文存在一定误差,请多包涵. 2.  由于内容较多,从word拷贝过来排版就乱了.故你也可以下载附件. 3.  如有不明白的地方,各位雪友可通过附件中的联系方式联系我,同时建议各位参照原文阅读...... [64位windows系统的PatchGuard] 原文:Bypassing PatchGuard on Windows x64.pdf 关于windows x64上的PatchGuard是干什么用的,

easyhook简要说明: easyhook是一个开源的hook库(http://easyhook.github.io/),其支持托管代码(.NET)和非托管代码(C/C++)hook,这里只分析了其非托管下的hook代码,根据目前分析的情况来看,其有如下几个特点: 1. 同时支持X86和X64. 2. 支持针对不同的线程进行hook,例如可以设置当线程ID为0x1234的线程执行时执行hook功能函数,而线程ID为0x4321执行时不执行hook功能函数. 3. 支持在hook功能函数中执行被

原文链接:https://blog.fanscore.cn/p/27/ 一. 函数调用相关指令 关于栈可以看下我之前的这篇文章x86 CPU与IA-32架构 在开始函数调用约定之前我们需要先了解一下几个相关的指令 1.1 push pushq 立即数 # q/l是后缀,表示操作对象的大小 pushl 寄存器 push指令将数据压栈.具体就是将esp(stack pointer)寄存器减去压栈数据的大小,再将数据存储到esp寄存器所指向的地址. 1.2 pop popq 寄存器 popl 寄存器