关于调用约定的三个误解

结构体按大小与字段类型决定走寄存器还是隐式指针，超过 16 字节基本走指针

误解通常来自把「工具的输出」当成「结论」。

先说结论

保护只提高成本，反编译不等于源码。

• 保护：提高成本而非阻断
• 反编译：丢类型与意图
• 逆向：建模 + 验证
• 看运行时数据
• 先假设再取证

误解一：加了保护就没法看

Win64 要求调用方预留 32 字节影子空间，栈帧比 SysV 大一圈，算错就全乱。

保护提升的是成本，不是绝对阻断；运行时的数据是真的。

误解二：反编译结果等于源码

cdecl 由调用方清栈，stdcall 由被调方清栈，看 ret 后面有没有立即数就能分辨。

反编译丢的是类型、命名和意图，这三样恰恰最费时间。

误解三：读懂汇编就会逆向

结构体按大小与字段类型决定走寄存器还是隐式指针，超过 16 字节基本走指针。

逆向的核心是建模：猜出原来的设计，再验证。

几个具体事实

下面这些是相对确定的细节：

• 结构体按大小与字段类型决定走寄存器还是隐式指针，超过 16 字节基本走指针

怎么少走弯路

先建立「它应该怎么写」的假设，再去找证据。调用约定是读汇编的语法，语法错了语义就全是猜的。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• x64 下前四个参数走寄存器，函数开头把 rcx 与 rdx 存到栈上，所以看不到 push
• 可变参数函数必须由调用方清栈，浮点参数还要看 al 里存了几个向量寄存器
• 调用约定判断错，参数会整体错位，反编译出来的代码读起来像乱码，先用一个已知的库函数校准
• 把 x64 当 x86 读栈，找不到参数就断言加壳
• 忽略影子空间，栈帧大小一直算不对
• 看到 ret 就以为是 cdecl，没看后面的立即数

把工具输出当结论，是最贵的误解。