Obrona przed dll inectjion

[Keasr223]

Witam,  szukam jak w temacie, jak się bronić przed dll inectjion i czy można rozpoznać jak program się broni czy to raczej już metoda prób i błędów ?

[Phoenix_PL]

http://stackoverflow.com/questions/869320/how-do-i-prevent-dll-injection

 

używaj google, plz

https://www.google.pl/search?q=dll+injection+protection+methods­

[ᕦ( ͡° ͜ʖ ͡°)ᕤ]

ObRegisterCallbacks

[Pancake]

ObRegisterCallbacks

KeStackAttachProcess

[ᕦ( ͡° ͜ʖ ͡°)ᕤ]

KeStackAttachProcess

Osoby, która potrafi pisać cheaty w kernel mode, raczej nic nie zatrzyma.

[TheAifam5]

ObRegisterCallbacks

Czyli to co uzywa anti-cheat BattlEye, tylko ze tez za bardzo nie ochroni przed injectowaniem... Jak juz masz swoj sterownik to nawet to cie nie zatrzyma.

 

KeStackAttachProcess

Yyy.... co to ma do ochrony przed injectowaniem?

[ᕦ( ͡° ͜ʖ ͡°)ᕤ]

Czyli to co uzywa anti-cheat BattlEye, tylko ze tez za bardzo nie ochroni przed injectowaniem... Jak juz masz swoj sterownik to nawet to cie nie zatrzyma.

Nom, widziałem gdzieś na jakiejś stronie artykuł, gdzie typ zewnętrznie wywoływał ObUnRegisterCallbacks i mógł z user-mode potem injectować co chciał.

KeStackAttachProcess jest też jakąś "kontrą" na ObRegisterCallbacks, możesz wtedy robić jakby "externale", masz w końcu dostęp do pamięci taki sam, jak z externala.

Injectowanie DLLki z kernel mode chyba nawet nie wymaga KeStackAttachProcess, nie pamiętam zbytnio jak się to robiło (było coś z LdrLoadDLL)