在进行反汇编和伪代码分析的时候，经常会碰到IDA Pro函数原型应该怎么修改，还有函数参数数量判断错了又该怎么处理的问题。IDA这个工具，是根据调用发生的位置、寄存器是怎么被使用的、栈上面起了什么变化，还有当前编译器的设置，去推断函数会返回什么、用哪一种调用约定、以及需要几个参数的；但是编译时做过的优化、通过指针进行的间接调用、尾调用，还有自己定义的传参方式，这些都会让推断出来的结果变得不准确。函数原型要是一开始就被判断错了，伪代码里面就可能会多出一些本来没有的参数，或者缺了必要的参数，变量的类型也会变得混乱，调用表达式也会出现不正常的样子。

　　一、IDA Pro函数原型怎么修改

　　在动手修改函数原型以前，不能光是靠着函数的名字去猜测它有哪些参数，应该先去看一看调用它的那些地方、函数自己的入口，还有返回以前的位置，弄明白参数是从寄存器里面传过来的，还是放在栈上面的，同时也要确认一下，那个返回值，调用的一方是不是真的拿去用了。

　　1、通过伪代码修改函数类型

　　在【Pseudocode】窗口中把光标放到函数声明或目标函数名上，按Y打开【Set type】，重新填写返回值、调用约定、参数类型和参数顺序。

　　比如，原来被自动识别成整数的一个参数，可以把它改成指针、指向结构体的指针，或者是字符串类型。改动之后的函数原型，会被拿去参与新的反编译，那些用到这个函数的地方，参数的表示方式，还有局部变量的类型，可能都会跟着一起变化。在IDA里面，Set type这个命令，是可以直接去修改函数、局部变量，还有全局对象的类型的。

　　2、正确选择调用约定

　　需要结合程序运行的平台和编译器，去判断到底该用cdecl、stdcall、fastcall、thiscall，还是别的调用约定。在x86程序里面，不同的调用约定，会让参数传递的位置和栈的清理方式变得不一样；成员函数还有可能藏着一个隐含的this指针。一旦调用约定被选错了，IDA就可能把一个普通的寄存器，错误地当成了参数，也可能把真实的参数，给看成了局部变量。

　　3、处理间接调用的函数指针

　　假如函数是通过指针、回调表，或者虚函数表来调用的，那就应该给对应的那个函数指针变量，设置一个完整的类型，而不是只去修改某一个调用表达式。

　　在【Pseudocode】窗口中选中函数指针变量并使用【Set type】，将其改为带有返回值和参数列表的函数指针。IDA在获得了正确的函数指针原型以后，一般就能够重新去解释间接调用的参数；要是目标函数的地址是固定的，那也要去确认一下，目标函数本身是不是已经设好了正确的原型。

　　二、IDA Pro函数参数数量判断错误怎么办

　　参数数量上的错误，通常不单单是数错了一个数字，而是调用约定、函数的边界、变量的类型，或者控制流分析这些地方，出现了偏差。直接把多出来的参数给删掉，虽然能够把当前的伪代码变好一些，但是根源没有处理的话，别的调用位置，仍然有可能继续显示出不正常。

　　1、对比多个调用位置

　　去查看目标函数的交叉引用，对比一下不同的调用者，在调用它之前往哪些寄存器里面写了内容，往栈里面压了多少数据，还有调用完成以后，是怎么去使用返回值的。要是好几个调用位置，都只准备了两个参数，可是函数原型却显示有四个参数，那就要重点去检查一下，多出来的那些参数，是不是只是临时用到的寄存器数值。

　　对于那些在不同调用位置，参数个数都不太一样的函数，还要去判断它是不是一个可变参数的函数，或者这些位置实际上调用的，是不同类型的函数指针。

　　2、检查函数边界和栈分析

　　函数入口的地方识别错了，或者函数尾部的代码被划进了旁边的函数里面，这些都会影响到参数的恢复。应该回到反汇编那个视图里面，去检查函数的起始地址、返回的指令、栈指针是怎么变化的，还有保存了哪些寄存器。如果函数的边界不够准确，就要先把函数的范围重新定义好，然后再去处理原型的事情。

　　当栈指针的分析出现异常的时候，IDA有可能会把某些栈里面的位置，错误地当成了输入参数。这个时候，就要去检查那些不平衡的push和pop、动态分配的栈空间，还有异常处理的代码，不能只是在伪代码里面改一改参数的名字。

　　3、识别隐藏参数和特殊传参

　　C++的成员函数，可能会带有一个this指针，结构体作为返回值的时候，可能是通过一个隐藏的指针来传递的，比较大的对象，也有可能会被拆开，放到多个寄存器或者栈位置里面去。经过优化以后的程序，还可能会把没有用到的参数给省略掉，或者在尾调用里面，重复使用调用者的传参环境。

　　碰到那种用普通的调用约定，没有办法准确描述的情况，就可以使用IDA提供的用户自定义调用约定，明确地指定参数和返回值，到底放在哪一个寄存器或者栈的哪一个位置。这样做，比起硬加上几个普通的参数，要更加贴近指令实际的行为。

　　三、函数原型修改后怎么验证

　　函数原型改完以后，不能只是盯着当前这一个地方的伪代码，看它是不是变得整齐了。类型的这些信息，是会向调用者和被调用者那边扩散的，一个错误的原型，也有可能会让更多的变量被错误地转换，所以还要去做一次整体的复核。

　　1、重新刷新相关伪代码

　　把类型修改了之后，对当前的函数，还有那些主要去调用它的函数，再做一次反编译，然后观察一下参数的数量、变量的类型、返回值，还有条件判断，是不是比之前更合理了。如果改完以后，出现了很多强制类型转换，或者原本还挺清楚的变量，反而变得更混乱了，那就说明这个原型可能还是不够准确。

　　2、补充结构体和枚举类型

　　如果参数实际上是指向一组固定的字段，那就应该先去建立对应的结构体，然后再把参数改成指向结构体的指针。像状态值、命令类型，还有错误码这些，也可以建立成枚举。一份完整的数据类型，比起单纯把它写成一个void指针或者整数，更能帮助IDA去恢复对字段的访问，以及条件所代表的含义。

　　3、保留修改依据

　　对于一些关键的函数，建议把调用约定、参数的来源、主要的调用位置，还有为什么要这么修改的原因，都给记录下来。往后在导入符号、加载类型库，或者重新分析程序的时候，就可以很快地判断出，之前手工设置的原型是不是还能用，避免让错误的类型，长时间留在数据库里面。

　　总结

　　IDA Pro函数原型怎么修改IDA Pro函数参数数量判断错误怎么办，里面的关键，是先从调用它的地方、寄存器、栈的变化，还有函数的边界，去弄清楚真实的传参方式，然后再通过Set type去修正返回值、调用约定和参数的类型。当参数个数出现异常的时候，要同时去检查间接调用、隐藏的参数、可变参数，还有编译优化带来的影响。修改完以后，还要继续去复核调用者、数据结构，以及伪代码的变化，这样才能够让函数原型，真的去贴合底层的指令，而不是仅仅让当前这一页，看上去显得整齐一些。