Zitat von
Arnulf:
Zitat:
RtlQueryProcessDebugInformation ist eine Native
API Ja klar aber mir hat man gesagt, daß createtoolhelpsnapshot ebenfalls die native
api benutzt.
Damit wäre es doch logisch RtlQueryProcessDebugInformation zu hooken wenn man .dlls oder was auch immer verstecken will.
Durchaus, aber es ist nicht die einzige Native
API, die in der Toolhelp
API benutzt wird.
Zitat von
Arnulf:
Zitat:
da eigentlich diese DLLs nicht dafür ausgelegt sind reloziert zu werden
Das ist wohl war.
Die frage ist aber warum nicht? - ist das in der .dll festgeschrieben oder weiß das das betriebssystem?
1. sind alle DLLs aufeinander abgestimmt. Schau dir mal die Base Address in den einzelnen DLLs zB mit dem Dependency Walker an, die passen alle wie ein Zahnrad ins andere.
2. sind die DLLs nicht darauf ausgelegt, auch wenn sie meist dennoch eine Relokationstabelle enthalten.
Zitat von
Arnulf:
wenn ich also den namen der ntdll.dll ändere wäre es doch durchaus möglich, daß es funktioniert.
Ja, aber eben nur durch relozieren, weil die NTDLL bereits in jeden Prozess eingeblendet ist.