IAT 的地址 = 00405000
           IAT 的相对地址 = 00005000
           IAT 的大小 = 000000BC
00A70042   断点位于 00A70042
           OEP 的地址 = 00401D2B
           OEP 的相对地址 = 00001D2B

nspack3.5主程序脱壳分析(Aspr SKE 2.X) (输入表)
Asprotect SKE 2.2 的Advanced Import protection保护技术 (输入表)


莱鸟脱Aspr2.11 SKE+修复stolen (Dump法对付stolen OEP)

ASProtect.SKE.2.11 stolen code解密 (ASProtect 2.11的stolen与SDK修复技术 )
ASProtect_SKE_2.3Beta_Build0319 stolen code分析 (ASProtect 2.22/2.23的stolen与SDK修复技术 )

ASProtect SKE 2.2 SDK中的API修复

Q：OD载入Aspr的壳就弹出检查到调试器，请卸载对话框，确定后马上退出，根本不给人调试的机会，这样的壳怎么脱？
A:原因应该是导入表有dll也是aspr的壳，OD载入停在系统断点就可，然后IsDebugPresent就OK了（shoooo回答）

Q：何为脱壳的软件重新加ASPR壳？
A: Directory Table中
Reserved: 00000000 010000000

那个1清0（堀北真希回答）

Q：如何清除themida给系统留下的补丁？运行了一个themida加的软件。结果themida修改了SSDT,以后每次启动系统，驱动都自动加载了
A:
sc stop oreans32
sc delete oreans32
（peaceclub回答）

1.什么叫 stolen code?如何判断有没stolen code?

stolen code = 被偷走的代码

跟到原程序代码段发现代码不完整就是被偷走了,看经验

2.什么叫SDK 如何判断SDK?

software development kit，提供一个接口给使用者，与壳发生交互作用增加强度。可以看软件说明。

3.什么叫暗庄,如何判断有无暗庄?

检测到自己被脱壳但是不明说，暗地里搞破坏。


4.脱aspr壳的时候 在什么情况下需要补区段?

代码被抽走的时候

（forgot回答）

Q:Armadillo加壳标记在哪？
A:MajorLinkerVersion、MinorLinkerVersion处，具体如下：
000000F0 5045 0000 4C01 0400 DAD4 6643 0000 0000 PE..L.....fC....
00000100 0000 0000 E000 0F01 0B01 5352 0000 0500 ..........SR ....
00000110 0060 1500 0000 0000 B08B 0400 0080 0800 .`..............

用十六进制工具打开文件，在PE头部分，你会发现SR字符，清零就行。

Q:加载某程序，OD直接崩溃
A:原因是OD调用的sprintf函数显示某些浮点数会崩溃的bug
原理及解决方法参考：http://bbs.pediy.com/showthread.php?threadid=33621
从这下载修改版：http://www.pediy.com/tools/Debuggers.htm