[反汇编]栈帧中函数的参数传入位置

[ebp+0] - 保存旧的ebp的值

[ebp+4] -  保存该函数的返回地址

[ebp+8] - 保存第一个参数

 

在IDA如果涉及到内核函数，可以先查出WRK，然后分别将参数赋值，这样再分析起来就很好看了。