调用约定+OD快捷键+IDA快捷键

1.调用约定

1.1 32位

1.c/c++默认调用约定是_cdecl，返回值在EAX中，该调用规定参数按照从右到左的顺序入栈，由调用者负责清除栈。

2.pascal 语言的调用约定是pascal，参数按照从左到右的方式入栈，函数自身清理堆栈，返回值在EAX中。VC 中已经废弃了这种调用方式。

3.Win32API的调用约定是stdcal，参数从右到左的方式入栈，函数自身清理堆栈，返回值在EAX中。

4.Fastcall通过 CPU 寄存器来传递参数。他用 ECX 和 EDX 传送前两个双字（DWORD）或更小的参数，剩下的参数按照从右至左的方式入栈，函数自身清理堆栈，返回值在 EAX 中。Microsoft Visual C++ 编译器在采用 Fastcall 规范传递参数时，左边的2个不大于4字节(DVORD）的参数分别放在ecx 和edx 奇存器中，寄存器用完后就要使用栈，其余参数仍然按从右到左的顺序压人栈，被调用的西数在返回前清理传送参数的栈。浮点值、远指针和_in164 类型总是通过栈来传递的。

5.thiscall是唯一一个不能明确指明的函数修饰, 因为thiscall不是关键字。它是C++类成员函数缺省的调用约定。由于成员函数调用还有一个this指针, 因此必须特殊处理, thiscall意味着:参数从右向左入栈。如果参数个数确定, this指针通过ecx传递给被调用者, 如果参数个数不确定, this指针在所有参数压栈后被压入堆栈,对参数个数不定的, 调用者清理堆栈, 否则函数自己清理堆栈。

1.2 64位

x64应用程序只有1种寄存器调用约定。前4个参数使用寄存器传递，如果参数超过 4个，多余的参数就放在栈里，人栈顺序从右到左，由函数调用方平衡栈空间。前4个参数存放的寄存器是固定的，分别是第1个参数RCX、第2个参数RDX、第了个参数R8、第4个参数 R9，其他参数从右往左依次人栈。任何大于8字节或者不是1 字节、2字节、4字节、8字节的参数必须由引用来传递（地址传递)。所有浮点参数的传递都是使用 XMM 寄存器完成的，它们在 XMMO、XMIMI、XMM2 和XMM3 中传递。

2、OD常用快捷键 指令

快捷键	功能
Ctrl+F2	重启程序，即重新启动被调试程序。如果当前没有调试的程序，OllyDbg会运行历史列表［historylist］中的第一个程序。程序重启后，将会删除所有内存断点和硬件断点。
Alt+F2	关闭，即关闭被调试程序。如果程序仍在运行，会弹出一个提示信息，询问您是否要关闭程序。
F7	单步步入到下一条命令，如果当前命令是一个函数［Call］，则会停在这个函数体的第一条命令上。如果当前命令是含有REP前缀，则只执行一次重复操作。
F8	单步步过到下一条命令。如果当前命令是一个函数，则一次执行完这个函数（除非这个函数内部包含断点，或发生了异常）。如果当前命令是含有REP前缀，则会执行完重复操作，并停在下一条命令上。
F9	让程序继续执行。
Alt+B	显示断点窗口。在这个窗口中，您可以编辑、删除、或跟进到断点处。
Alt+C	显示CPU窗口。
Alt+E	显示模块列表［list of modules］。
Alt+K	显示调用栈［Call stack］窗口。
Alt+M	显示内存窗口。

当CPU窗口中的反汇编面板处于激活状态时，常用快捷间：

快捷键	功能
Alt+退格键	撤消所选部分的修改，以备份数据的相应内容替换所选部分。仅当备份数据存在且与所选部分不同时可用。
F2	在首个选择的命令上开关INT3 断点［Breakpoint］，也可以双击该行第二列。
Ctrl+E	以二进制（十六进制）格式编辑所选内容。
Ctrl+G	转到某地址。该命令将弹出输入地址或表达式的窗口。该命令不会修改 EIP。
分号(;)	添加注释［comment］。显示添加注释窗口［Add label］或修改注释窗口［Changelabel］，您可在此输入与首条所选命令的第一个字节相关联的注释（注释串会显示在最后一列中）。

3、IDA常用快捷键 

快捷键	功能
空格键	切换反汇编窗口(列表视图&图形视图)
G	定位地址
X	交叉引用
TAB	汇编指令和伪代码之间切换
双击	转到定义处
;	输入的注释,所有交叉参考处都会出现,
:	输入的注释只在该处出现
F5	显示C伪代码
Alt+t	打开文本搜索对话框