Zitat:
RtlQueryProcessDebugInformation ist eine Native
API Ja klar aber mir hat man gesagt, daß createtoolhelpsnapshot ebenfalls die native
api benutzt.
Damit wäre es doch logisch RtlQueryProcessDebugInformation zu hooken wenn man .dlls oder was auch immer verstecken will.
Oder irre ich mich da?
Und das ist doch das eigentliche ziel solche hooks zu verhindern.
Ich hab ja bisher noch nichtmal solche einschlägigen programme gefunden die .dlls verstecken - man hat mir nur gesagt, daß man die cheat checks damit umgehen kann und das klingt auch logisch.
Zitat:
da eigentlich diese DLLs nicht dafür ausgelegt sind reloziert zu werden
Das ist wohl war.
Die frage ist aber warum nicht? - ist das in der .dll festgeschrieben oder weiß das das betriebssystem?
wenn ich also den namen der ntdll.dll ändere wäre es doch durchaus möglich, daß es funktioniert.
Vermutlich hast du recht und es geht mit bestimmten funktionen.
Aber das war auch nur meine notlösung.
Arnulf