CreateToolHelp32SnapShot hooks umgehen

[Neotracer64]

Ich hab da mal eine Frage an uall aka brechi.
Wenn ich zum Beispiel die ntdll.dll und die kernel32.dll geforced habe ein zweites mal geladen zu werden innerhalb meines Progs, wie sieht es zum Beispiel damit aus:

Eine Funktion aus der 2. kernel32.dll ruft in sich eine Funktion aus der ntdll auf. Aber welche ntdll nimmt er dann? Die von anfang an vorhandene oder die 2. geladene?

[Olli]

Das dürfte auf die Methode ankommen. Wenn brechi den PEB modifiziert, sollten die neuen (sauberen) Kopien benutzt werden.

[Neotracer64]

Eine Idee wie ich das in Erfahrung bringen kann oder testen kann?

//EDIT: Hmm. Ich probier mal folgendes. Ich hooke eine Funktion in der ntdll, die von einer Funktion in der kernel32 benutzt wird. Dann force ich beide und rufe die funktion in der kernel32 auf. Wenn die gehookte Funktion der ntdll benutzt wird, dann wurde nicht die 2. Lib benutzt.
Ich sag später Bescheid obs geklappt hat.

[Neotracer64]

Schade. Sieht so aus als würde die Funktion der 2. Instanz der Kernel32.dll die Funktion der ersten Instanz von ntdll.dll aufrufen :(

Ich habe die Funktion LoadLibraryA aus der kernel32.dll gewählt. Sie ruft _stricmp aus der ntdll.dll auf.

Delphi-Quellcode:

unit Unit1;

interface

uses
  Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
  Dialogs, StdCtrls, uallProtect, uallHook;

var
  old_stricmp, next_stricmp: function(const str1, str2: Pchar): Integer;


[...type Form1 Kram]

  ntdll,
  kernel32: Integer;

implementation

{$R *.dfm}

function new_stricmp(const str1, str2: Pchar): Integer;
begin
  Messagebox(0,'Old Function called','Error',MB_ICONWARNING);
  result := old_stricmp(str1,str2);
end;



procedure TForm1.Button1Click(Sender: TObject);
begin
  LoadLibraryA('twain32.dll');
end;

procedure TForm1.Button2Click(Sender: TObject);
var
  SafeLoadLibraryA: function(lpLibFileName: PAnsiChar): HMODULE;
begin
  ntdll := ForceLoadLibraryNt('ntdll.dll');
  kernel32 := ForceLoadLibraryNt('kernel32.dll');

  If (ntdll = GetModulehandle('ntdll.dll')) or
     (kernel32 = GetModulehandle('kernel32.dll'))
        Then raise Exception.Create('Failed loading Libs');

  @SafeLoadLibraryA := GetProcAddress(kernel32,'LoadLibraryA');
  SafeLoadLibraryA('twain32.dll');

end;

procedure TForm1.Button3Click(Sender: TObject);
  var
  h: Integer;
begin
   h :=  GetModuleHandle('ntdll.dll');
  if h > 0 then
  begin
    @old_stricmp := GetProcAddress(h,'_stricmp');
    if @old_stricmp <> nil then
      uallHook.HookCode(@old_stricmp,@new_stricmp,@next_stricmp);
  end;
end;

end.

Zuerst Button3 um den Hook zu attachen. Dann Button1 um zu gucken ob korrekt gehookt wurde. Und zuletzt Button2 um zu gucken ob das zutrifft, was ich vorhin gesagt habe.

Leider kommt bei beiden Buttons die MsgBox :(

EDIT: Ok. Ich hab nochmal genauer geguckt.
Ich kann GetProcAddress nicht auf die 2. geladene DLL anweden, warum auch immer :(

Delphi-Quellcode:

 user32 := ForceLoadLibraryNt('user32.dll');

  If (user32 = GetModulehandle('user32.dll'))
        Then raise Exception.Create('Failed loading Lib');
  If Integer(GetProcAddress(user32,'MessageboxA')) <> 0 Then
    @SafeMessageBoxA := GetProcAddress(user32,'MessageBoxA')
    Else
    ShowMessage('go fuck urself');

Ich bekomm die ShowMessage.

EDIT2:

Ok. Ich bin verzweifelt. BRECHIIIIIIIIIII
Ne, jetz ernsthaft. Ich habe die Demo hsflibrary.dpr von brechis uallCollection ausprobiert und bekamm folgende Fehlermeldung bei den Forcelibrary-Funktionen:

Zitat:

---------------------------
hsflibrary.exe - Illegales Verschieben einer System-DLL
---------------------------
Die System-DLL "kernel32.dll" wurde im Speicher verschoben. Die Anwendung wird nicht einwandfrei ausgeführt. Die Datei wurde verschoben, da die DLL "" einen Adressbereich belegt, der für Windows-System-DLLs reserviert ist. Besorgen Sie sich vom DLL-Lieferanten eine neue DLL.
---------------------------
OK
---------------------------

Wie verschieben? ich dachte, die dll wird einfach ein 2. Mal reingeladen? Und warum überhaupt kernel32.dll. Es sollte doch die opengl32.dll öfters reingeladen werden.
(Ja ich habe ForceLoadLibraryNt benutzt)

[Neotracer64]

Ok. Hat sich erledigt.
In der Callback Funktion next_stricmp aufrufen und nicht old_stricmp.
Und nachdem ich die neue uallCollection vom CVS-Repository von Project Omorphia runtergeladen habe klappt auch ForceLoadLibraryNt.

EDIT:
Anscheinend hat brechi nicht den PEB modifiziert :(. Ich habs eben mit TerminateProcess aus der kernel32.dll,die NtTerminateProcess aus der ntdll.dll aufruft, ausprobiert.

Nun hab ich ein bisschen gesucht und hab mir die PEB (Process Environment Block) Struktur angesehen.
http://undocumented.ntinternals.net/...ocess/PEB.html

Ich frage mich was ich da nun konkret manipulieren müsste, damit es klappt?
Vlt.das "KernelCallbackTable"? Sonst seh ich da nichts interessantes :S

[brechi]

PEB? wie was wo?

ne das klappt alles nicht so.

Man muss die dll "eintragen", was man aber nicht macht, weil man sie sonst wieder zu leicht hooken kann -> deshalb geht auch GetProcAddress nicht (GetProcAddressX schon von der uallKernel).
Müsstest die Imports fixen bzw die dll sogar selbst laden.

[Neotracer64]

Aso, ne ich dachte nur PEB weil Olli das gesagt hatte:

Zitat:

Das dürfte auf die Methode ankommen. Wenn brechi den PEB modifiziert, sollten die neuen (sauberen) Kopien benutzt werden.

Vlt. habe ichs auch nicht richtig verstanden.
Das was du sagst habe ich schon befürchtet. Ich müsste also alle Imports der zuerst geforcten DLL umbiegen auf die anderen geforcten DLLs.
Und von diesen wiederrum auch usw. (Ich weiss gar nicht wie tief das geht).
Ich müsste mit ForceLoadLibrary alle DLLs der WinAPI laden, die vom Programm benutzt wird um 100% sicher zu sein, dass ich jedem Hook entwische. :F

Ich werde mich einfach mal dran machen in der Hoffnung, dass du es nicht gemacht hast, weil du es nicht gebraucht hast und nicht weil es viel zu aufwendig ist. :F

Lebensaufgabe?

Sag mir einfach nur ob es im Bereich des möglichen liegt. ;)

Vielen Dank auf jedenfall für die Antwort und die uallCollection überhaupt *g*. Macht viel Spass damit rumzuspielen.

[brechi]

Naja eigentlich braucht man ja nur die ntdll. Den Rest baut man sich dann selbst nach ;)

Oder du musst LoadLibraryX benutzen, und dann in der auch wieder LoadLibraryX und GetProcAddressX dann sollte der selbst die ganzen dlls laden. Ma schaun ob ich das nacher mal als Beispiel machen kann.

[Neotracer64]

Zitat:

Ma schaun ob ich das nacher mal als Beispiel machen kann.

Das wäre super nett von dir. :cheers: :hello:
Lass dir ruhig Zeit, morgen ist eh erstmal Schule :| Und kurz nach den Ferien ist da mit Hausaufgaben nicht zu spassen.

[Neotracer64]

Ich will wirklich nicht drängen oder sonst irgendetwas. Und wenn du viel zu tun hast ,brechi, dann ist es auch egak.
Aber ich wollt hiermit nur zeigen, dass ich immernoch neugierig auf dein Beispiel bin. Bitte nimm es mir nicht übel. ;)