CreateToolHelp32SnapShot hooks umgehen

[NicoDE]

Zitat von Arnulf:

Jedenfalls hab ich code von nico gefunden

Netter alter Code, keine Ahnung ob der auf aktuellen Windows-Versionen noch funktioniert (von Debug-Releases ganz zu schweigen )...

Zitat von Arnulf:

Dazu hab ich nur noch eine frage was ist der Handle eines Moduls?
Ist das die Base adresse?

Ja und nein. In 99% ist es die Basisadresse - wenn die Datei allerdings mit LoadLibraryEx(..., ..., LOAD_LIBRARY_AS_DATAFILE) geladen wurde, dann kommt zum Handle (die ja eigentlich untypisierte Zeiger sind) +1 dazu...

Zitat von Arnulf:

also beginnt dort dann der dos header und alle weiteren?

Du solltest dich von der Vorstellung trennen, dass die Header in den Adressraum des Prozesses eingeblendet/kopiert werden müssen...