回过头看发现自己写错了，现在改过来
想要不执行某个函数（比如弹出窗口）怎么操作
思路1 将该函数的call改为
add esp，x
mov eax，返回值
错误因为硬编码大小不一样，会影响后面的函数
思路2, 将要屏蔽的函数作为被调用函数，向上找到调用者的开始处，屏蔽调用者
push ebp
mov ebp，esp
。。。。
改为
mov eax，返回值
ret x
其中求返回值：找到调用者的call，就在push ebp前面一个入栈的eip的上面，在调用者的call那下断点，然后正常执行，看eax的值
由于是stdcall调用，所以函数用ret x平栈，可以直接找到最后的ret，也可以步过调用者的call，观察esp的变化量，还可以直接看call之前的push，哪个行得通就用哪个

以上是逆向核心原理11章内容的总结，关于思路2，“mov eax，返回值”这个是自己添的
之前没有弄懂，还有错误希望指出

另外附两种调用方法的笔记
cdcel主要是c语言中使用的，是调用者平栈，add esp，n。n是被调用函数参数所占字节数

int main(int argc, char *argv[])
    {
    push        ebp
    mov         ebp,esp
    sub         esp,40h
    push        ebx
    push        esi
    push        edi
    lea         edi,[ebp-40h]
    mov         ecx,10h
    mov         eax,0CCCCCCCCh
    rep stos    dword ptr [edi]
       return add(1,2);
    push        2
    push        1
    call        @ILT+35(abc5) (00401028)
    add         esp,8     
    }
    pop         edi
    pop         esi
    pop         ebx
    add         esp,40h
    cmp         ebp,esp
    call        __chkesp (004013e0)
    mov         esp,ebp
    pop         ebp
    ret

_stdcall
是被调用函数自己平栈，ret n，n为被调用者的函数参数所占字节数
int main(int argc, char *argv)
   {
  push        ebp
  mov         ebp,esp
  sub         esp,40h
  push        ebx
  push        esi
  push        edi
  lea         edi,[ebp-40h]
  mov         ecx,10h
  mov         eax,0CCCCCCCCh
  rep stos    dword ptr [edi]
        return add(1,2);
  push        2
  push        1
call        @ILT+40(abc5) (0040102d)
    }
   pop         edi
   pop         esi
   pop         ebx
   add         esp,40h
   cmp         ebp,esp
   call        __chkesp (004013e0)
   mov         esp,ebp
   pop         ebp
   ret

int _stdcall add(int a, int b)
   {
    push        ebp
    mov         ebp,esp
    sub         esp,40h
    push        ebx
    push        esi
    push        edi
    lea         edi,[ebp-40h]
    mov         ecx,10h
    mov         eax,0CCCCCCCCh
    rep stos    dword ptr [edi]
         return a+b;
    mov         eax,dword ptr [ebp+8]
    add         eax,dword ptr [ebp+0Ch]
     }
    pop         edi
    pop         esi
    pop         ebx
    mov         esp,ebp
    pop         ebp
    ret         8

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课