调用约定的练习路径

可变参数函数必须由调用方清栈，浮点参数还要看 al 里存了几个向量寄存器

练逆向最怕「看了很多，一个都没做完」。

先说结论

练习要有终点，否则只是浏览。

• 目标：能说清结构
• 下一步：定位功能
• 再下一步：改行为
• 最后：写脚本
• 验证：cdecl 由调用方清栈，stdcall 由被调方清栈，看 ret 后面有没有立即数就能分辨

把目标拆小

每个练习都要有明确终点：

Win64 要求调用方预留 32 字节影子空间，栈帧比 SysV 大一圈，算错就全乱。

• 第一个：能说清一个程序的结构
• 第二个：能定位一个具体功能的位置
• 第三个：能改一处行为并验证
• 第四个：能写脚本自动化前三个

怎么验证

cdecl 由调用方清栈，stdcall 由被调方清栈，看 ret 后面有没有立即数就能分辨。

没有验证的练习，等于看视频。

几个具体练法

下面这些是相对确定的细节：

• 结构体按大小与字段类型决定走寄存器还是隐式指针，超过 16 字节基本走指针

卡住时怎么办

把 x64 当 x86 读栈，找不到参数就断言加壳。

卡住超过两天就换一个更小的目标，别硬耗。

一句实话

调用约定是读汇编的语法，语法错了语义就全是猜的。

能复现的进度才是进度。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• x64 下前四个参数走寄存器，函数开头把 rcx 与 rdx 存到栈上，所以看不到 push
• 调用约定判断错，参数会整体错位，反编译出来的代码读起来像乱码，先用一个已知的库函数校准
• 把 x64 当 x86 读栈，找不到参数就断言加壳
• 忽略影子空间，栈帧大小一直算不对
• 看到 ret 就以为是 cdecl，没看后面的立即数

逆向是手艺，只能靠做完来学。