DEC 5.2 String hashen?

[Zacherl]

Zitat von a.def:

Zitat:

indem man einen BP auf CreateFileW platziert.

Um CreateFileW kommt man vermutlich nicht herum richtig? (Datei anderweitig laden)

Würde mir zumindest auf Anhieb jetzt keine Möglichkeit einfallen, die nicht genauso einfach zu erkennen ist.

[a.def]

Zitat:

Würde mir zumindest auf Anhieb jetzt keine Möglichkeit einfallen, die nicht genauso einfach zu erkennen ist.

Ok. Zeugenvernehmung beendet. Urteil gesprochen: Zacherl hat das Zepter und kommt eh um alles rum

[himitsu]

Die wichtigen Teile der EXE sind in den RAM gemappt, also kann man das auch im RAM hashen, anstatt die Datei.
Nur muß man hier erstmal alle Teile finden, da erstens die PE-Sektionen einzeln geladen werden, die Reallocationstabellen übershrieben werden und auch überall die Sprung-/Speicheradressen werden vom Windows gepatcht, wenn das Image im RAM verschoben wurde.

[a.def]

Klingt kompliziert und resultiert bestimmt wieder in keinerlei Mehrwert. Denn CreateFile muss man ja nicht suchen denke ich.

[a.def]

Eine Frage hätte ich noch. Ich habe gerade mal beobachtet wie die "E/A Bytes (Lesen)" im Taskmanager aussieht nachdem ich mein Testprogramm starten.
Mit meinem aktuellen Code und einem <Stream>.LoadFromFile() geht der o.g. Wert direkt in die Höhe. Ich würde mal sagen dort steht dann Programmgröße + 200KB.

Wenn ich folgenden Code verwende, dann passiert das nicht. Woran liegt das?

Delphi-Quellcode:

 aFileStream := TFileStream.Create(ParamStr(0), fmOpenRead or fmShareDenyWrite);
 try
  // Get hash from stream end
  SetLength(s, 32 * SizeOf(Byte));
  aFileStream.Position := aFileStream.Size - Length(s);
  aFileStream.Read(s[1], Length(s));

  ShowMessage(s);
 finally
  aFileStream.Free;
 end;

Wo ist also der Unterschied was den Wert "E/A Bytes (Lesen)" angeht zwischen den Zeilen unten?

Delphi-Quellcode:

// Verursaacht hohe (Programmgröße + ~100KB) "E/A Bytes (Lesen)" im Taskmanager
aByteStream := TBytesStream.Create;
aByteStream.LoadFromFile(ParamStr(0));

// Verursacht dieses Problem nicht
aFileStream := TFileStream.Create(ParamStr(0), fmOpenRead or fmShareDenyWrite);

Und: gibt es eine Lösung TBytesStream zu verwenden -ohne- dieses Problem im TaskManager? (TStringStream verursacht diese Anzeige übrigens auch)

[Michael II]

In deinem Codebeispiel oben liest du nur 32 Bytes:

aFileStream.Read(s[1], Length(s));


in deinem Beispiel unten das ganze File

aByteStream.LoadFromFile(ParamStr(0));

[a.def]

Mh ok klingt logisch und einleuchtend jetzt wo ich da mal drauf gucke.

Was ich gerade auch sehe.. folgende Zeile erzeugt denselben Effekt im Taskmanager:

Delphi-Quellcode:

// Stringlänge auf Streamlänge setzen
SetLength(sHash, aFileStream.Size);