CreateToolHelp32SnapShot hooks umgehen

[Olli]

Zitat von Arnulf:

Zitat:

RtlQueryProcessDebugInformation ist eine Native API

Ja klar aber mir hat man gesagt, daß createtoolhelpsnapshot ebenfalls die native api benutzt.
Damit wäre es doch logisch RtlQueryProcessDebugInformation zu hooken wenn man .dlls oder was auch immer verstecken will.

Durchaus, aber es ist nicht die einzige Native API, die in der Toolhelp API benutzt wird.

Zitat von Arnulf:

Zitat:

da eigentlich diese DLLs nicht dafür ausgelegt sind reloziert zu werden

Das ist wohl war.
Die frage ist aber warum nicht? - ist das in der .dll festgeschrieben oder weiß das das betriebssystem?

1. sind alle DLLs aufeinander abgestimmt. Schau dir mal die Base Address in den einzelnen DLLs zB mit dem Dependency Walker an, die passen alle wie ein Zahnrad ins andere.
2. sind die DLLs nicht darauf ausgelegt, auch wenn sie meist dennoch eine Relokationstabelle enthalten.

Zitat von Arnulf:

wenn ich also den namen der ntdll.dll ändere wäre es doch durchaus möglich, daß es funktioniert.

Ja, aber eben nur durch relozieren, weil die NTDLL bereits in jeden Prozess eingeblendet ist.