Ram lesen = detectable ?

Hi

Wenn ich mit AutoIT ausm RAM was auslese, kann ein anderes Programm oder Warden das irgendwie feststellen?

Wenn ja, wie kann man das umgehen? weil glider liest ja werte ausm ram.

Quote:

Originally posted by PiroX@Jun 7 2007, 20:09 Hi Wenn ich mit AutoIT ausm RAM was auslese, kann ein anderes Programm oder Warden das irgendwie feststellen? Wenn ja, wie kann man das umgehen? weil glider liest ja werte ausm ram.

da die Routinen von Warden nicht bekannt sind, kann dir wohl keiner die Frage mit sicherheit beantworten.
was man vermuten kann:
da Glider von warden (noch) nicht banned wird kannst du davon ausgehen, dass das auslesen von werten aus dem RAM mittels AutoIt genau so wenig/viel bemerkt wird wie bei Glider (es sei denn Glider benutzt eine spezielle technik - was ich nicht glaube)
Umgehen.... kann man das vermutlich nicht. - Außer du schaffst es vllt Warden rechte zu entziehen (System privilegien) damit die Infos nicht an Warden rausgerückt werden.
Außerdem ist das auslesen eh schwer zu detecten. Da werden nämlich keine Spuren HInterlassen (bzw. Warden müsste jeden Prozess auf zugriffe in den RAM checken -> viel zu viel arbeit)
Falls ich falsche Infos geposted haben sollte - bitte berichtigen :D

gruß, rei

thx +karma 4 you

es wuerde fuer warden imho kein problem darstellen zu uebepruefen ob auf die ram zugegriffen wird zur zeit es das blosse auslesen jedoch kein banngrund

Ja, das kann man feststellen. Im Userspace als auch im Kernelspace. Zum einen funktioniert simples API-Hooking auch für Anti-Cheat-Tools, zum anderen kann ein Anti-Cheat-Programm im Kernelspace etliche Methoden dafür aufwenden. Zum einen können auch diese API-Hooking betreiben, zum anderen können die wenn nötig auch Speicherzugriffe direkt abfangen. Damit wäre dann selbst das Auslesen über einen Pointer innerhalb des Prozesses erkennbar, was auch DLL-Injection mit einhergehndem direkten Auslesen sichtbar machen würde.

Quote:

Originally posted by Leonino@Jun 7 2007, 22:44 es wuerde fuer warden imho kein problem darstellen zu uebepruefen ob auf die ram zugegriffen wird zur zeit es das blosse auslesen jedoch kein banngrund

hast recht... es gibt ja noch sowas wie API Spying^^
damit isses easy heraus zufinden, welches programm auf den RAM zugreift.
Aber wenn man das ganze nicht über die API regelt müsste es doch zumindest schwerer werden herauszufinden welches Programm liest - oder?

Schwer ist relativ ... (:

Fuers userland gilt:
Man kann die page mit dem PAGE_NOACCESS/PAGE_GUARD protected, dann endet jeder zugriff in einer access violation, die an warden mittels eines ExceptionFilters (AddVectoredExceptionHandler/SetUnhandledExceptionFilter) "weitergegeben" wird.

kernelmode:
Dort kann man den Physikalischen RAM direkt auslesen.Das sollte man im usermode allerdings nicht mitbekommen, bin mir da aber gerade nicht 100%tig sicher.

und wie ist das dann bei Glider und Cheatengine?
Dann muss doch Warden das easy detecten oder?

Glider kenne ich nicht und cheatengine bietet die Möglichkeit funktionen aus dem kernelmode zu benutzen.

bietet autoit auch diese möglichkeit wie cheatengine ?

<hr>Append on Jun 9 2007, 01:52<hr> mit noMadmeroy wird dat gemacht

Local &#036;ah_Handle[2] = [DllOpen('kernel32.dll')]

ist das kernelk mode und somit sicher ?

<hr>Append on Jun 9 2007, 02:02<hr> ich würd das nähmlich wirklich gern wissen, auf was man als programmierer achten muss, damit er undetectable bleibt. Vorallem bei AutoIt, da die Sprache sehr gute Hilfe bietet.

Nein, die kernel32 ist eine library, die system nahe funktionen bietet. Das ganze hat nichts mit dem kernel mode zu tun. Wenn autoit keinen treiber läd, kannst du zu 99% ausschließen, dass autoit kernel mode funktionen benutzt.

thx für den post.
Nun noch ne konkrete letze Frage.

Werde ich gebant, wenn ich mit AutoIt ausm WoW Ram lese? Wenn ja mit welcher Wahrscheinlichkeit? Und sollte ich das dann lieber nicht für Bots nutzen?

und ich denke nicht, das AutoIt treiber läd. (werde mich informieren)


WoW NUTZUNGSBESTIMMUNGEN
QUOTE (Leonino @ Jun 7 2007, 22:44)

Ich kann nur spekulaieren:

Ich habe mal ein paper von Greg Hoglund gelesen welches sich mit warden befasst hat, ich meine gelesen zu haben, dass warden _keine_ dll in einen anderen prozess laed und auch keinen treiber laed, somit kann man praktisch ausschließen, dass warden einen aufruf von readprocessmemory mitbekommt. Es gibt auch ein g15 applet welches spieler daten aus dem speicher ausließt.
Warden imho scannt nur mittels footprint, also nach geblacklisteten string/hashes.

merci <3