脱壳机是基于虚拟机的
先说下以前脱下那些壳，导入表重建原理，在脱壳过程中，对GetProcAddress这些关键函数信息进行拦截，以便以后重建导入表用，脱壳后，用0x15ff 0x25ff搜索程序的每个节，查找系统调用信息，来发现脱壳处理后的IAT，然后用这个IAT建立新的导入表(这个过程中用了脱壳后的IAT，没有新建IAT)，这个也是ollydump建立导入表的原理
今天发现，脱壳处理后发现的那个IAT，并非IAT，它只不过是张函数地址表，fsg2.0脱壳后的这张表，每个dll导入的函数之间并没有用0隔开(貌似用0x7fffffff隔开了，利用它应该可以搞定导入表新建问题，我未雨绸缪下，如果各dll函数地址间没有无效地址隔开怎么办)，导致上面那个重建导入表的思路不能工作了
然后，我自己又写了一段重建导入表的程序，在这个程序中连IAT也重建了，然后，重新搜索每个节，把0x15ff 0x25ff指令的操作数改到我们新建的IAT上来，这样出来的程序，通过0x15ff 0x25ff调用API是没有问题的，但是发现其它一些指令(比如mov)还会去操作脱壳后的那张IAT(准确的说是张地址表),这样导致程序没有办法执行....

现在的问题是：
1.如果我用脱壳处理后的那个“IAT”，只是张函数表，如果每个Dll间没有无效地址隔开，我用ollydump那种思路就无法建立导入表了（当然目前发现大多数壳不这样）
2.如果我连IAT也新建的话，只该了0x15ff 0x25ff指令的参数，其它指令引起的系统API调用怎么办

貌似没有什么办法了，特向各位老大求救，帮我想个招，先谢过了

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！