4.调用约定识别-参数与返回值

下面这个图十分重要，是我们会在反编译过程中遇到的最常见的各种调用约定。这整一张的内容就从这个图开始吧。

ref: https://www.agner.org/optimize/calling_conventions.pdf

什么是调用约定

调用约定，或者说是ABI，实际上是编译器+指令集+平台的一类特定规范；使用这种规范，调用约定确保了子函数调用的局部性。

ref:https://en.wikipedia.org/wiki/Application_binary_interface

ref:https://www.agner.org/optimize/calling_conventions.pdf

为什么调用约定的识别那么重要？

当然是因为调用约定包含了大量的编译器高层抽象信息啊！！

要知道，反编译反编译，反的是什么，当然是“编译器”啊。哪个功能包含的编译器信息多，哪个功能就重要。所以调用约定放到最前面来。

对于反编译器，识别出编译器的调用约定不仅对于还原函数参数原型，对于其它分析也有很重要的意义，下面是一个简单的例子。

EAX = 1
EBX = 2
ECX = 3
//进行了一次函数的调用
call func_test
//函数调用返回后，寄存器的值会变吗？（寄存器会被kill掉吗
EAX = ? // EAX==1 ??
EBX = ? // EBX==2 ??
ECX = ? // ECX==3 ??

调用约定的其它功能就是处理函数调用前后的各种事情，比如：

什么寄存器会被kill掉（在子函数中会被覆盖）
什么寄存器会被保留（在子函数不被覆盖）
哪些寄存器由调用者维护
哪些寄存器由被调用者维护（维护，一般就是指push入栈，出来后pop回去）
函数参数如何进行传递
函数返回值如何传递
函数栈平衡在哪里维护，调用者和被调用者怎么管理栈

调用约定—反编译的困难

主要的困难在于：调用约定有很多种，不同的语言，不同的编译器、不同的平台上都用的不一样。

windows和linux有各自的ABI；还有编译器的问题，对这很麻烦，比如：

gcc编译器
LLVM编译器
Go语言
Rust语言
C++语言的this指针
objective-C的msgSend

等等，无论是编译器/编程语言/执行平台，它们的调用约定都是可能不同的。

对于调用约定的识别，本身是对二进制编写的语言平台架构、编写语言、程序上下文、栈平衡、跨函数的程序分析一些列的混合工作。

判断以下的情况：

反编译如何自动判断二进制是用什么编译器编出来的？
如何自动判断二进制是哪种语言写的？
正确的处理的处理子函数调用约定
混合更多识别方法的调用约定识别场景
对于无法正确识别的调用约定，怎么处理？
用户如何自定义调用约定

反编译器调用约定处理的通用方案

调用约定的推导，从文件载入的时候就开始了，通过文件格式，能够知道文件运行的平台是linux、windows、mac等等。

绝大多数可执行文件格式，会声明执行文件的指令集abi等等，例如elf文件就可以使用readelf -h 指令查看:

╰─$ readelf -h a.out
ELF Header:
  Magic:   7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00
  Class:                             ELF64
  Data:                              2's complement, little endian
  Version:                           1 (current)
  OS/ABI:                            UNIX - System V
  ABI Version:                       0
  Type:                              DYN (Position-Independent Executable file)
  Machine:                           Advanced Micro Devices X86-64

完成对于指令集和平台的判断，对于C、C++这一类低级语言，我们已经可以进行调用约定推导了。

但是对于Go、rust等高级编译型语言的支持。业界对于这部分的研究是不足的，通用的反编译器支持方法不同。

Ghidra中的调用约定推导

Ghidra中的调用约定来自于用户的配置，用户需要在二进制导入时选择使用哪个调用约定描述文件。

调用约定描述文件CSPES

Ghidra的配置项中提供了xxxx.cspec文件，专门用于描述调用约定。

ref:https://spinsel.dev/assets/2020-06-17-ghidra-brainfuck-processor-1/ghidra_docs/compiler_spec/index.htm

这个文件详细的描述了：平台+指令集+编译器，对不同的架构都有对应的配置文件

例如x86指令集的gcc编译器在Ghidra的Processors\x86\data\languages\x86gcc.cspec中。

下面这段代码是EBPF的调用约定描述（不愧是开源，Ghidra居然支持这玩意？）大家可以参考并体验一下。

<?xml version="1.0" encoding="UTF-8"?>
<compiler_spec>
  <data_organization> 
     <absolute_max_alignment value="0" />
     <machine_alignment value="2" />
     <default_alignment value="1" />
     <default_pointer_alignment value="8" />
     <pointer_size value="8" />
     <wchar_size value="2" />
     <short_size value="2" />
     <integer_size value="4" />
     <long_size value="4" />
     <long_long_size value="8" />
     <float_size value="4" />
     <double_size value="8" />
     <long_double_size value="8" />
     <size_alignment_map>
          <entry size="1" alignment="1" />
          <entry size="2" alignment="2" />
          <entry size="4" alignment="4" />
          <entry size="8" alignment="8" />
     </size_alignment_map>
  </data_organization>
   <global> 
   	  <range space="ram"/>
   	  <range space="syscall"/>
   </global> 
  <stackpointer register="R10" space="ram"/>
   <default_proto>
    <prototype name="__fastcall" extrapop="0" stackshift="0">
      <input>
        <pentry minsize="1" maxsize="8">
          <register name="R1"/>
        </pentry>
        <pentry minsize="1" maxsize="8">
          <register name="R2"/>
        </pentry>
        <pentry minsize="1" maxsize="8">
          <register name="R3"/>
        </pentry>      
         <pentry minsize="1" maxsize="8">
          <register name="R4"/>
        </pentry>
         <pentry minsize="1" maxsize="8">
          <register name="R5"/>
        </pentry>
      </input>
      <output>
        <pentry minsize="1" maxsize="8">
          <register name="R0"/>
        </pentry>
       </output>
      <unaffected>
        <varnode space="ram" offset="8" size="8"/>
        <register name="R6"/>       
	    <register name="R7"/>
        <register name="R8"/>
        <register name="R9"/>       
		<register name="R10"/> 	
      </unaffected> 
    </prototype>
  </default_proto>
 </compiler_spec>