为什么通过内联汇编将参数传递给函数并不一致？

Question

我从原始函数跳转到我的钩子，它运行执行函数的程序集。我正在尝试将参数从原始函数传递给函数 mWSARecv。

我是这样做的：

void mWSARecv(LPWSABUF lpBuffers)
{
    std::cout << "WSARecv: " << lpBuffers->buf << " Len: " << lpBuffers->len << std::endl;
}

__declspec(naked) int hookWSARecv() // Original -> Here
{
    __asm
    {
        pushad;
        pushfd;

        push[ebp + 0x24];
        call mWSARecv;

        popfd;
        popad;

        jmp WSARecvTramp;
    }
}

然后我保存寄存器和标志。推送所需的参数 [ebp + 0x24] 并调用输出这些参数的函数。它工作一次，但下一次它会导致执行。

原来的函数调用约定是__stdcall。

第一次跳转：

组装钩子：

我做错了什么？

Answer 1

默认情况下（不覆盖调用约定）以下是CDECL 调用约定：

void mWSARecv(LPWSABUF lpBuffers)
{
    std::cout << "WSARecv: " << lpBuffers->buf << " Len: " << lpBuffers->len << std::endl;
}

根据调用约定，MSDN 文档说：

堆栈维护责任 - 调用函数从堆栈中弹出参数。

这与STDCALL 不同，后者有此参数清理规则：

堆栈维护责任 - 被调用函数从堆栈中弹出它自己的参数。

考虑到这一点，您的代码中的问题在hookWSARecv 中：

    push[ebp + 0x24];
    call mWSARecv;

    popfd;

因为mWSARecv 是CDECL，所以你推送的参数必须在调用后清理。不这样做意味着当popfd 和随后的堆栈操作发生时，它们都将从堆栈上的错误位置恢复。在这种情况下，要清理推送的一个 4 字节参数的堆栈，您需要在调用后将 4 添加到 ESP。修复看起来像：

    push[ebp + 0x24];
    call mWSARecv;
    add esp, 4;
    popfd;