Hallo allerseits!

Ich wollte mal Fragen wo genau die Vorteile und Nachteile beider Methoden liegen? Besonders interessiert mich dies im Bezug auf Resistenz gegen Hooks.
Sprich welche Methode ist hinterher schwerer zu hooken? Oder mach es keinen Unterschied? Gibt es eventuell Maßnahmen um Hooking auf NTDLL Funktionen zu verhindern bzw. zu erkennen.

mfG Richard

Hi,
was das Hooking angeht, so kann ich leider nicht viel dazu sagen.

Allgemein unterscheiden sich die beiden Varianten vorallem im Zeitpunkt der Bindung. Da DLLs gerade entworfen wurden, um das dyn. Binden zu erlauben, kommt die dyn. Bindung dem entsprechend näher. Hier kann der Code genau dann geladen werden, wenn er benötigt wird (und danach eben auch wieder entladen). Das schont ggf. Ressourcen. Vorallem aber ermöglicht dieses Verfahren es, dass man erstmal schaut, ob eine Datei gibt, die gebunden werden kann. Das Vorhandensein von Dateien lässt sich vorab prüfen und Fehler können leicht behandelt werden. Insbesondere kann man auch unbekannte DLLs laden (bei denen die Schnittstelle, aber nicht der Name bekannt ist, z.B. Plugins).
Für die statische Bindung spricht eigentlich nur die einfachere Syntax, da der Code zum Laden (auch nicht weiter kompliziert) entfällt. Hier muss jedoch der Name der Datei schon zur Übersetzungszeit bekannt sein, wird die zugehörige DLL nicht gefunden, löst dies immer eine Ausnahme aus.

Gruß Der Unwissende

Hi,

wird eine DLL statisch geladen und ist dann nicht vorhanden, gibt es eine Fehlermeldung und dein Programm ist weg. Beim dynamischen laden kannst du vernunftig reagieren. Benötigt nur ein AddOn deines Programmes die DLL, so ist es blöd, wenn das Proggi ohne DLL nicht läuft. Reagierst du beim dynamischen Laden darauf, funzt dein Proggi weiter, nur die zusätzliche DLL-funktionalität nicht.

Das war jetzt sehr populärwissenschaftich gesprochen, trifft aber einen praktischen Aspekt.

Was der Unwissende da gesagt hat hört sich natürlich viel toller an.

Gruß oki