Ajuda urgente Modulos de processo :x

[The°Hacker 6]

Olá de novo povo... mais uma vez eu com umas dúvidas rs

Vou ser mais direto, to desenvolvendo um Anti-Hack, e nele tem a função q lista o path de todas dlls carregadas (Módulos) de um determinado processo...

Não sei se é possivel diferenciar as dlls do sistema com uma dll hack...

 

Então como a maioria de hacks são feitas em Delphi (Pascal), eu pensei se houvesse alguma maneira de indentificar em qual linguagem as dlls foram copiladas, assim eu poderia diferenciar as dlls padrões do sistema (que são em C/++/#), com as dlls hack injetadas pelo usuário...

 

Então, espero que tenha entendido... a ideia é descobrir se existe uma Dll intrusa!

 

Um pequeno exemplo, suponhamos que essa LPK.dll seja uma dll hack, unica maneira que eu vejo é identificando em qual linguagem ela foi compilada :x

 

Mas se alguem souber uma outra forma/lógica, estou aberto a sugestões... muito obrigado !!!

 

Att,

 

TheºHacker

[Grilo~* 0]

Eu sei uma gambiarra para se fazer o mesmo:

Use um loop para pegar os nome das dll, se alguma delas forem diferentes das que eram para estar, Terminatethread(), ou suspendThread() ou até mesmo um Freelibary()...

[The°Hacker 6]

Eu sei uma gambiarra para se fazer o mesmo:

Use um loop para pegar os nome das dll, se alguma delas forem diferentes das que eram para estar, Terminatethread(), ou suspendThread() ou até mesmo um Freelibary()...

 

Sim, a principio eu tentei isso... nesse PC aqui o mesmo processo carregou 30 Dlls... aí pra garantir rodei num outro PC aqui, e nele carregou 28 Dlls !!

Ta foda :x

Se souber qualquer outra sugestão, só falar !!

 

Obrigado...

[Grilo~* 0]

Sim, a principio eu tentei isso... nesse PC aqui o mesmo processo carregou 30 Dlls... aí pra garantir rodei num outro PC aqui, e nele carregou 28 Dlls !!

Ta foda :x

Se souber qualquer outra sugestão, só falar !!

 

Obrigado...

Se lá tem 28 é porque essas duas dll não fazem diferença se terminarem elas, faça o teste, se não for importante termine,

Só proteja as importantes...

[AceStryker 32]

Todo compilador deixa sua assinatura em algum lugar do PE e ler(O que o PEiD faz), mas acho mais fácil para ti listar todas as Dlls do sistema em algum lugar e depois checar para ver se tem uma com excessão destas

[The°Hacker 6]

Então pessoal, deve ser a melhor forma mesmo...

To tentando usar a Função TerminateThread aqui, pelo que vi é a unica q serve no meu caso... pois FreeLibrary() fecha o jogo !

Na net procurei mas nao foi boa a pesquisa !

 

Nos meus testes pra aprender a função to fazendo assim:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

*lbModulos: ListBox no qual é listada as Dll's

 

No caso ali, eu seleciono na lista a Dll no qual quero dar Kill, mas não da certo... sempre retorna "Erro ao finalizar dll !"

Ou eu estou usando errado ?

 

Obrigado...

[Grilo~* 0]

Então pessoal, deve ser a melhor forma mesmo...

To tentando usar a Função TerminateThread aqui, pelo que vi é a unica q serve no meu caso... pois FreeLibrary() fecha o jogo !

Na net procurei mas nao foi boa a pesquisa !

 

Nos meus testes pra aprender a função to fazendo assim:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

*lbModulos: ListBox no qual é listada as Dll's

 

No caso ali, eu seleciono na lista a Dll no qual quero dar Kill, mas não da certo... sempre retorna "Erro ao finalizar dll !"

Ou eu estou usando errado ?

 

Obrigado...

Freelibrary em uma dll não pertencente ao jogo, não da kill não...

Use getmoduleHandle para pegar a handle da dll depois terminatethread...

Será mais easy não ? :)

[The°Hacker 6]

Freelibrary em uma dll não pertencente ao jogo, não da kill não...

Use getmoduleHandle para pegar a handle da dll depois terminatethread...

Será mais easy não ? :)

 

É que na verdade to entrando agora nessa parte de API do windows rs... só desenvolvia softwares de gerenciamento mesmo :f

mas entao, o comando ficaria assim ?

 

Se nao for muito encomodo, pode colocar um exemplo bem simples aqui de como eu uso esse "GetmoduleHandle" ??

 

Obrigado !

[AceStryker 32]

Gente, GetModuleHandle() pega o handle do módulo, o que você esta tentando fechar é a thread, então você deve usar OpenThread()

[Grilo~* 0]

BOOL WINAPI TerminateThread(

__inout HANDLE hThread,

__in DWORD dwExitCode

);

Achei que o primeiro parâmetro poderia ser um Getmodulehandle, estou errado Ace ?

[The°Hacker 6]

AceStryker, pesquisando no Google a função OpenThread segundo a sua sugestão, eu encontrei uma ajuda que voce deu ao B4ruc !! Ele estava usando essa função:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Porém, ele estava PARANDO todas as Threads do processo, não uma específica !!

Então voce comentou a seguinte linha para ele observar

 

lsnp := CreateToolHelp32SnapShot(TH32CS_SnapThread, 0);

 

Então devo obter o ID da Dll atraves do Path para colocar nesse ultimo parametro ?

[AceStryker 32]

BOOL WINAPI TerminateThread(

__inout HANDLE hThread,

__in DWORD dwExitCode

);

Achei que o primeiro parâmetro poderia ser um Getmodulehandle, estou errado Ace ?

 

Caso queira desinjetar uma Dll você deve usar FreeLibrary() e não TerminateThread(), mas caso queira apenas parar ela você usa OpenThread() com o TerminateThread().

Lembrando que dll é um módulo e thread é outra coisa :)

[Grilo~* 0]

Caso queira desinjetar uma Dll você deve usar FreeLibrary() e não TerminateThread(), mas caso queira apenas parar ela você usa OpenThread() com o TerminateThread().

Lembrando que dll é um módulo e thread é outra coisa :)

Sempre pensei de um modo diferente,

Esse tópico acabou por me tirar uma dúvida que eu não sabia que existia, rs

Abçs, bjus.

[The°Hacker 6]

Alguem pode mandar um site especifico de como usar TerminateProcess & OpenProcess em Módulos ??? No google só encontro referente a finalizar um processo por inteiro, e não tenho noção de como adaptar :s

 

Obrigado pessoal !

[AceStryker 32]

Createtoolhelp32SnapShot() lista as thread de um processo(O PID deve ficar no ultimo parâmetro), depois você deverá reconhecer qual a thread que você quer apagar(sugiro olhar o entrypoint dela) e pega o TID dela, depois usa um OpenThread() para pegar o handle da mesma, e um TerminateThread() para termina-la

[Inoxybel 51]

Não precisa identificar a linguagem que a "dll" foi compilada...

 

Você pode gerar uma lista encriptada (para proteger), onde contém uma lista de todas as dlls padrões que o game irá carregar... Em seguida, comparar o conteúdo listado no anti-hacker, com a lista encriptada...

 

Os módulos que não estiverem na lista encriptada é fechado, (ou pode fazer apenas o jogo fechar).

 

 

 

@edit

Aqui seu erro

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Você diz que ThreadId é todos os módulos do processo explorer.exe, em seguida, fecha-as.

[The°Hacker 6]

Obrigado a todos que postaram suas opinioes...

Pode dar Close aqui Adm