DLL Injection verhindern

[lautlosertot]

Hallo ich wollt mal fragen ob es die möglichkeit gibt mit autoit zu programmieren das er überprüft wenn jemand eine dll incektet in meine eingebundene exe (z.b. metin2) das autoit tool das programm was injectet werden soll sofort schliest??

[K1ramoX]

Hab mal rumgesehen. Mit dieser riesen UDF Sammlung könntest du da einiges einrichten

[jacky919]

Du könntest die geladenen Module auf ihre Richtigkeit überprüfen, bin mir aber nicht ganz sicher, ob es funktionieren würde.
Eine andere Möglichkeit wäre, zu überprüfen, ob neue Threads im Prozess erstellt wurden, da die meisten DLLs, die für eine DLL-Injektion gedacht sind, CreateThread verwenden.

[K1ramoX]

Da wäre es doch dann möglich das nachdem das Programm voll geladen ist man CreateThread zu return 0 hookt oder?

[jacky919]

Ja, ich denke mal du meinst CreateThread so zu hooken, dass kein Thread mehr erstellt werden kann, wobei der Rückgabewert ja dann nebensächlich wäre.
Natürlich gäbe es zich Möglichkeiten, so etwas zu realisieren. Du könntest dir auch einen Treiber schreiben, der das überwacht, aber es geht ja um AutoIt und Dinge, die sich mit AutoIt implementieren lassen.

[lolkop]

Originally Posted by jacky919

Ja, ich denke mal du meinst CreateThread so zu hooken, dass kein Thread mehr erstellt werden kann, wobei der Rückgabewert ja dann nebensächlich wäre.
Natürlich gäbe es zich Möglichkeiten, so etwas zu realisieren. Du könntest dir auch einen Treiber schreiben, der das überwacht, aber es geht ja um AutoIt und Dinge, die sich mit AutoIt implementieren lassen.

und warum sollte das mit autoit nicht möglich sein?

[Tyrar]

weil autoit != asm/c/c++, und dadrin werden nunmal treiber geschrieben

[lautlosertot]

also ist das nicht möglich sowas in autoit zu schreiben?

[lolkop]

Originally Posted by lautlosertot

also ist das nicht möglich sowas in autoit zu schreiben?

natürlich ist das möglich. du kannst eine einfache asm routine per WriteProcessMemory in deinen target process packen, welche das ganze realisiert...