"Unhook" de dll no OllyDBG

[NoSlake 56]

É o seguinte, digamos que dei hook em uma dll que chama GHP em um arquivo .exe, blz funcionou tudo bem. Mas agora eu quero "unhookar" essa DLL.

Pensei em jogar um JMP antes da onde chama a DLL para qualquer linha abaixo do comando. Mas eu não lembro qual linha está chamando a dll. Como proceder ?

[vodikatm 23]

Porque você não faz unload do módulo da DLL?

Se for pra anti-hack de mu pode usar sem problemas, não conheço um que verifica se a thread deles foi morta, ou se o modulo não existe.

[NoSlake 56]

Foi eu mesmo quem hookou a dll no .exe e sim, ele não verifica se a thread foi morta hehe.

Só que eu não sei como fazer esse unload. Na verdade, acho que só dar um JMP na linha que está chamando a dll já basta, mas eu não sei em qual linha está chamando a dll.

[vodikatm 23]

Você mesmo quem hookou e não sabe onde ela está? como assim? asujdhaushdasudas. Foi hook manual pelo olly ou pelo stud_pe?

Se for hook automatico por esses programas, creio que usar API Unhook ja resolve, ou você abre o seu executavel e retira o módulo da sua DLL de la.

Não entendi ainda oque você quer fazer, e.e

[Ryokusei 28]

É o seguinte, digamos que dei hook em uma dll que chama GHP em um arquivo .exe, blz funcionou tudo bem. Mas agora eu quero "unhookar" essa DLL.

Pensei em jogar um JMP antes da onde chama a DLL para qualquer linha abaixo do comando. Mas eu não lembro qual linha está chamando a dll. Como proceder ?

 

"digamos que dei hook em uma dll"

Arquivo físico ou em run time?

 

"que chama GHP em um arquivo .exe"

O que é GHP e o que significa chamar GHP em um .exe?

[NoSlake 56]

Desculpem as expressões. É o seguinte, eu tenho um main.exe, e hookei uma dll chamada GHP.dll nele, mas depois disso eu abandonei o projeto. Agora eu quero dar unhook, mas não sei como fazer isso.

[Ryokusei 28]

Desculpem as expressões. É o seguinte, eu tenho um main.exe, e hookei uma dll chamada GHP.dll nele, mas depois disso eu abandonei o projeto. Agora eu quero dar unhook, mas não sei como fazer isso.

 

Eu usaria o Stud_PE pra isso, mas posso estar errado. Se não conseguir, tente manualmente remover as dependências dessa dll com um editor de PE (como PE Explorer), ou mesmo um editor hexadecimal se souber onde mexer.

[NoSlake 56]

Acho que consegui rs

Agradeço pelas respostas. Trancado.