programm vor injection schützen

[fr4gz]

Morgen,
Ich würde mein Programm gern vor "dll injection schützen" ich weiß es gibt kein 100% schutz,
trozdem würd mich über diverse Ideen & Vorschläge freuen.

Schönen Tag

[sirius]

Ohne CreateRemoteThread hat es eine DLL/code-Injection schon recht schwer. Also könnte man versuchen dies zu unterbinden.

[fr4gz]

also für meine Zwecke genügt es auch zu wissen ob eine fremde dll in mein programm injiziert wurde.

So in etwa
> jemand startet mein programm und injeziert eine fremde dll.., ab dieses zeitpunkt sollte mein tool darauf reagieren und sich schließen.

Ich könnte doch beim Start des Programms alle geladenen Module auflisten lassen und wenn sich in der liste was änder dementpsrechend handeln.
Nur sollte er unterscheiden können zwischen standard Module z.b (kernel32.dll) und fremd Module


greetz

[Luckie]

Lies aus den Versionsinformationen den Hersteller aus. Das setzt allerdings vorraus, dass Microsoft überall auch sich als Hersteller eingetragen hat.

[Bernhard Geyer]

Und was machst du mit oft gewünschte DLL's wie Grafikkarten-Desktoperweiterungen, Telefonanlagen-Apps, ...?

[Apollonius]

Und was machst du, wenn der Eindringling die Aufzählungsfunktionen hookt? Das kannst du nur mit riesigem Aufwand umgehen.

[fr4gz]

mh stimmt auch wieder..
der vergleich mit den Versionsinformationen/Produktname funktioniert zwar , ich bekomm schon mal ne kürzere Liste was die geladenen Module betrifft.. ich müsste jetz nur noch eine whiteliste erstellen für z.b f+r Xfire etc aber ich das möchte ich gerne vermeiden ..

hat irgendwer noch ne andere idee?


danke schon mal

greetz

[brechi]

Mir persönlich fällt im Moment keine Möglichkeit ein, die so sicher ist, dass ich sie nicht selbst mit ein paar Zeilen Code umgehen könnte.

Das einfachste wäre du startest dein Programm nocheinmal selbst (d.h. man müsste Aufwand reinstecken um in die zweite Instanz eine dll VOR Start des Programm zu injecten) und liest direkt beim Start der zweiten Instanz die geladenen Module aus und vergleichst sie in bestimmten Invervallen.
Ist aber nur 4-5 Minuten mehr Arbeit für einen "guten" Hacker, Skriptkiddies (sofern Sie keine stealth.dll laden) erstmla schwerer haben.

[inherited]

Wie wäre es das ganze als Treiber zu konzepieren? IMHO sind die um einiges besser geschützt.