Der ultimative Off-Topic Thread

[buFFy!]

das dient dazu die injektion zu "verstecken"

[Deset]

und die dll, verstecke ich dann wie?
muss ich da etwas in der dll verändern oder nachdem ich sie verändert habe iwas machen?

[Valvepro]

Originally Posted by Deset

und die dll, verstecke ich dann wie?
muss ich da etwas in der dll verändern oder nachdem ich sie verändert habe iwas machen?

Immer noch den peb zerstören....

Originally Posted by phrenesis

NtSuspendProcess, NtResumeProcess? :/

Ne meinte ich eig. nicht

[Deset]

Originally Posted by Valvepro

Immer noch den peb zerstören....

ja klar, aber wie mache ich das, des ist mein prob

[Valvepro]

Naja.. das anhalten des Processes ist sowieso nicht so wichtig von daher...
Es wird NICHT geschaut ob irgendetwas im Process eindringt.

Der Kernel macht lediglich eine Liste von jeder geladenen DLL!

[PenGuin :O]

$PID = ProcessExists($Process)
$hHandle = DllCall("kernel32.dll", 'int', 'OpenProcess', 'int', 0x1f0fff, 'int', False, 'int', $PID)
DllCall("ntdll.dll","int","NtSuspendProcess","int",$hHandle[0])
DllCall('kernel32.dll', 'ptr', 'CloseHandle', 'ptr', $hHandle)

und

$PID = ProcessExists($Process)
$hHandle = DllCall("kernel32.dll", 'int', 'OpenProcess', 'int', 0x1f0fff, 'int', False, 'int', $PID)
DllCall("ntdll.dll","int","NtResumeProcess","int",$hHandle[0])
DllCall('kernel32.dll', 'ptr', 'CloseHandle', 'ptr', $hHandle)

Einfach in den Injektionscode einfügen?^^

EDIT: Also doch die .dll von der Liste löschen?

[buFFy!]

Probiers aus

[PenGuin :O]

Geht schlecht ohne Gw Account^^

[buFFy!]

Wozu brauchst du dafür einen GW Account?

[Killerzwerg829]

Injecten kannst du auch ohne.

[Harko]

Originally Posted by u-coRe

Kann man wohl. PE Header töten und von der Modulliste exkludieren.

über VirtualQuery den Status jeder einzelnen Memory Page abfragen und wenn sie als lesbar definiert ist, über ein Hashwert von ein paar einzelnen Bytes den Inhalt überprüfen.

Warden von WoW funktioniert auf diese Weise und deswegen wäre dort dein Vorschlag absolut nutzlos.

Dies nur mal so als Anmerkung weil ich gerade zufällig durch das Forum surfe.

[PenGuin :O]

Ja aber das funktioniert doch wenn ich das davor setze, ich bin scho ngebannt, da geht nicht noch mehr gebannt. Der sinn der sache ist doch zu schauen ob man gebannt wird oO

[buFFy!]

Jo. Das hier ist btw. GW. Und bisher haben sie mich so nicht gebannt.

[Harko]

Originally Posted by u-coRe

Jo. Das hier ist btw. GW. Und bisher haben sie mich so nicht gebannt.

und

"Ich hoffe dir ist bekannt, dass man eine dll nicht einfach so verstecken kann."

"Kann man wohl. PE Header töten und von der Modulliste exkludieren."

ist eine allgemeingültige Aussage die sich nicht auf einen konkreten Fall bezieht.

"Und bisher haben sie mich so nicht gebannt."

Debugger und schauen wie die Detection funktioniert und nicht nach dem Prinzip "Try and Error" raten.

[buFFy!]

Originally Posted by Harko

Debugger und schauen wie die Detection funktioniert ...

Ich hab alles was ich brauche

War auch allgemeingültig gemeint. Das das trotzdem nicht überall funktioniert ist mir klar, aber PB z.B. sagt dazu nichts.