DLL Uninjection möglich?

[uragan]

Hallo
Hab eine dll injected mit autoit, nun möchte ich dies wieder deaktivieren.

Es das ganze möglich ohne Process zu beenden oder in der DLL die möglichen funktionen einzubauen?

Fall ja, bitte ein Tipp

Danke

[buFFy!]

wenn die dll was am speicher verändert, sollten diese veränderungen in der DllMain im 'DLL_PROCESS_DETACH' block stehen. (zummindest wenn hooks gesetzt werden).

ansonsten gibts da 'FreeLibrary'. musst du natürlich im target prozess aufrufen, aber dafür hast du ja GetProcAddress. also eigentlich der gleiche trick den man bei der injektion mit createremotethread verwendet, nur eben ein bisschen an die ejektion angepasst.

[uragan]

d.h. wenn in DllMain kein DLL_PROCESS_DETACH eintrag ist, und man FreeLibrary benutzt, dann Crash der Anwendung?

[buFFy!]

nein, aber wenn eine dll einen hook setzt der zum code in der dll springt, die dll aber nicht mehr geladen ist, wird die anwendung abstürzen.

mittlerweile entfernen die wenigsten ihre hooks in der detach methode. du musst halt schauen ob das funktioniert. aber wie gesagt, sobald erwartet wird das die dll im addressraum des prozesses ist, dies aber nicht ist weil du sie ejeziert hast, wird die anwendung crashen.

[uragan]

nein, aber wenn eine dll einen hook setzt der zum code in der dll springt, die dll aber nicht mehr geladen ist, wird die anwendung abstürzen.

Das hatte ich auch gemeint mit CRASH

ok, ich sehe es ist besser die dll drin zu lassen, und eine Abfrage mit bool "enable" zu machen. und nen enabler z.b. per tastendruck

Danke buFFy!

[buFFy!]

nicht jede dll setzt zwangsläufig einen hook. wenn du dein problem schilderst gibts sicher alternativen.

[Che]

wie wärs, die geladene dll mit ner leeren dll zu überschreiben? so kriegste keine aufruffehler

[buFFy!]

blödsinn. wenn eine vorher geladene dll nen hook setzt dann wird, nach dem überschreiben, ins leere gesprungen.

so kann dann natürlich auch kein code exekutiert werden mit dem wir zurück zum ursprung kommen und unser programm .. stürzt ab!

[uragan]

ich schaue mal was sich machen lässt, wenn ich keine möglichkeit finde weiter, dann setzen wir das ganze fort