Aufruf von CreateProcessA aus kopierter Kernel schlägt fehl

[Zacherl]

Hi,

um einige API Hooks zu umgehen, wurde mir vorgeschlagen einfach die kernel32.dll ins Temp Verzeichniss zu kopieren und daraus die original APIs zu importieren.

Für WriteProcessMemory, ReadProcessMemory, VirtualAllocEx, etc funktioniert dies auch wunderbar. Bei CreateProcessA allerdings führt ein Aufruf der API zu keinem Ergebniss --> es wird kein Programm gestartet.

Kernel kopieren:

Delphi-Quellcode:

TmpKernel := GetTempFilename(GetTempDir, 'knl');
  Result := CopyFile(PChar(GetSysDir + '\kernel32.dll'), PChar(TmpKernel), false);
  KernelHandle := LoadLibrary(PChar(TmpKernel));

Funktion laden:

Delphi-Quellcode:

function CreateProcess(lpApplicationName: PChar; lpCommandLine: PChar;
  const lpProcessAttributes, lpThreadAttributes: PSecurityAttributes;
  bInheritHandles: BOOL; dwCreationFlags: DWORD; lpEnvironment: Pointer;
  lpCurrentDirectory: PChar; const lpStartupInfo: TStartupInfo;
  out lpProcessInformation: TProcessInformation): BOOL; stdcall;
var
  pCreateProcess: function(lpApplicationName: PChar; lpCommandLine: PChar;
  const lpProcessAttributes, lpThreadAttributes: PSecurityAttributes;
  bInheritHandles: BOOL; dwCreationFlags: DWORD; lpEnvironment: Pointer;
  lpCurrentDirectory: PChar; const lpStartupInfo: TStartupInfo;
  out lpProcessInformation: TProcessInformation): BOOL; stdcall;
begin
  pCreateProcess := GetProcAddress(KernelHandle, 'CreateProcessA');
  if Assigned(pCreateProcess) then
    Result := pCreateProcess(lpApplicationName, lpCommandLine, lpProcessAttributes,
                             lpThreadAttributes, bInheritHandles, dwCreationFlags,
                             lpEnvironment, lpCurrentDirectory, lpStartupInfo,
                             lpProcessInformation)
  else
    Result := Windows.CreateProcessA(lpApplicationName, lpCommandLine, lpProcessAttributes,
                                     lpThreadAttributes, bInheritHandles, dwCreationFlags,
                                     lpEnvironment, lpCurrentDirectory, lpStartupInfo,
                                     lpProcessInformation);
end;

Der Aufruf von CreateProcess ist erfolgreich, allerdings startet kein Programm .. Setze ich statt KernelHandle GetModuleHandle('kernel32') ein funktioniert auch diese API wunderbar.

Wie es scheint wird der Prozess sogar für einen Sekundenbruchteil lang erstellt, dann aber sofort wieder terminiert. Muss ich eventuell mit einer weiteren API irgendwelche Rechte oder sowas setzen?