programm in memory

hallo,

wie kann man im Speicher nach einem Programm suchen?
Das Anti Cheat Programm "GameGuard" findet meinen OllyDebugger auch noch wenn ich den Prozess verstecke und das Fenster verstecke. Auf der Homepage habe ich gelesen, dass das Programm im Speicher (Ram) nach dem Programm sucht.
Das würde mich auch mal sehr interessieren. Wie kann man denn nach einem Programm im Speicher suchen bzw. wonach muss man suchen?

Martin Richter

Indem die verfügbaren Speicherseiten einfach nach bestimmten Code-Signaturen durchsucht werden.

Siehe auch VirtualQuery und einleitende Kapitel von "Advanced Windows" Jeffrey Richter.

danke, wie suche ich dann z.b. nach dem Programm OllyDbg?
Und wenn ich das handle von einem Prozess rauskriege muss ich ja auch wissen an welcher addresse der prozess mit speicher anfängt und aufhört damit ich ihn ganz durchsuchen kann. wie mache ich das?

wenn du nicht mal mit dem konzept des virtuellen adressraums vertraut bist, ist das ne spur zu hoch für dich. und glaubste maddin schreibt dir hier jetzt code, wie du deinen debugger vor nem anti cheat tool verbergen kannst?

leute gibts, die dürfts gar nicht geben!!!

Martin Richter

Ich habe Dir ein Stichwort und eine Referenz zum nachschlagen gegeben... Wer Ohren hat der höre... oder ... Wer Google kennt der suche...

vergiss es vor solchen anti cheat programmen kannst du nichts verstecken!
Sobald du den RAM änderst, also dass das Anti cheat programm es nicht mehr findet,
hast du auch das Programm geändert und schrottest es damit! also vergiss es

helferlein

cheaterkiddi schrieb:

vergiss es vor solchen anti cheat programmen kannst du nichts verstecken!

stichwort
DKOM

ich hätte mal eine Frage allgemein zum Ram
wieso ist es nicht egal ob VirtualQuery oder VirtualQueryEx?
Ich meine es gibt doch nur einen Arbeitsspeicher von 000000 bis FFFFFFFF
indem alle Prozesse ihr Zeug ablegen wieso braucht man dann immer ein handle auf prozesse?

troll detected.

Jochen Kalmbach

nProtect schrieb:

Ich meine es gibt doch nur einen Arbeitsspeicher von 000000 bis FFFFFFFF indem alle Prozesse ihr Zeug ablegen wieso braucht man dann immer ein handle auf prozesse?

Naja.. ich würde mal sagen, Du solltest Dich mit der Architektur von Windows (NT) auseinandersetzen und Dein altes DOS-Wissen ganz schnell vergessen...