Laden einer DLL erkennen

[c113plpbr]

Hi DP'ler,

ich suche für folgendes Problem eine Lösung:
Eine (fremde) DLL wird in den Speicher (m)eines Programms geladen, allerdings nicht direkt über LoadLibrary, sondern eher indirekt über SetWindowsHookEx. Mein Problem dabei ist, dass ich dies erkennen möchte.
Bei LoadLibrary wäre es relativ einfach, da würde ich es über die DllMain-Funktion & DLL_THREAD_ATTACH erfahren, aber bei SetWindowsHookEx wird diese Funktion (warum auch immer) einfach nicht aufgerufen (ich bekomme aber dennoch DLL_THREAD_ATTACH-Nachrichten über die DllMain, bei über LoadLibrary geladenen DLLs).
Daher suche ich nach alternativen, um dies zu erkennen. Fällt jemandem von euch eine ein?

Eine Methode wäre natürlich in bestimmten Zeitabständen zu prüfen, ob die DLL geladen wurde, allerdings wäre diese Lösung des Problems sehr "unsauber" ...

ciao, Philipp

[barf00s]

SetWindowsHookEx lädt keine Dlls in den Prozessraum eines Programms/Prozesses, das macht alles diese LoadLibrary ...................
aber eventuell hilft dir da die madCollection ( www.madshi.net ) und desses Forum - Ziel also, die LoadLibrary funktion zu hooken...

[c113plpbr]

Zitat von barf00s:

SetWindowsHookEx lädt keine Dlls in den Prozessraum eines Programms/Prozesses, das macht alles diese LoadLibrary

Denkste, die DLL's werden sehr wohl in den "Prozessraum" geladen!

Zitat von barf00s:

aber eventuell hilft dir da die madCollection ( www.madshi.net ) und desses Forum - Ziel also, die LoadLibrary funktion zu hooken...

Nope, weder LoadLibraryA noch LoadLibraryW wird aufgerufen, glaub mir. Und wenn es aufgerufen werden würde, würde ich ja meine Messages bekommen ...

SetWindowsHookEx scheint eine (oder ein paar) Ebenen unter LoadLibrary zu arbeiten ...

ciao, Philipp

[Win32.API]

Hi,
kann es sein das SetWindowsHokEx WriteProcessMemory benutzt?
Versuch doch mal das zu hooken vieleicht gehts ja.

Win32.API

[c113plpbr]

Ok, ich hab die Lösung gefunden (dank Assarbad):
SetWindowsHookEx ruft die Funktion LdrLoadDll der ntdll.dll auf. Ein (API-) Hook auf diese Funktion sollte das Problem lösen.

Trotzdem danke, an alle

ciao, Philipp

[Olli]

Achtung:

1. Funzt das nicht auf 9x - das kennt nämlich kein LdrLoadDll()
2. Mußt du jeweils überprüfen, welche API benutzt wird, denn seit XP hat die Funktion glaube ich Geschwisterchen bekommen