nachdem ich hier die ganzen Threads gelesen hab, hab ich auch ma n bisschen mit IAT Hooks rumexperimentiert.
Wenn ich Funktionen aus kernel32.dll oder user32.dll hooke klappt das auch alles super, aber sobald ich probiere Funktionen aus ntdll.dll zu hocken, klappt das net mehr. Und zwar wird offenbar keine Funktion mit dem Namen, den ich suche gefunden. Ich hab das bisher nur mit NtQueryDirectoryFile probiert, aber ich denke daran liegts nicht.

Gruß Tobi.

Naja will momentan irgendwie Dateien Verstecken und hatte eg vor FindNextFile zu hooken. Aber sobald ich das bei Explorer.exe mache kriegt der n Fehler. Gibts ne Möglichkeit das zu umgehen?

Wenn ich zuerst FindFirstFileA oder -W hooke passier nichts, aber der Hook wird auch nicht ausgeführt.

Wenn ich FindFirstFileW und anschließend FindNextFileW hooke erscheint eine Meldung, dass das Programm aus Sicherheitsgründen geschlossen werde. Bestätgit man dies erscheint "explorer.exe hat ein Problem festgestellt und muss beendet werden."

Hooke ich FindNextFileW direkt erscheint nur Folgendes "explorer.exe hat ein Problem festgestellt und muss beendet werden."

7C80F0E1     8BFF                    MOV     EDI,EDI              
7C80F0E3     55                      PUSH    EBP
7C80F0E4     8BEC                    MOV     EBP,ESP

D.h. also das wenn du die 5Bytes sicherst und schreibst nichts aus einanderreist,muss also an was anderem liegen.

void HookFunc( ... ) {

 _asm {

      // some asm crap
      // z.B Register aus lesen ala mov deineGlobaleVar, EDX

      // Bevor du funktion ausführst ala MessageBox oder so
      // Flags und Register sichern
      PUSHAD // sichert alle Register
      PUSHFD // sichert alle Flags
  }

  // Mache zu was du lust hast 
  MessageBox( ... )
  SendMessage( ... )
  usw.

  // dann stelle alle Falgs und register wieder her
  _asm {

      POPAD
      POPFD
   }
}

Das hatte jedenfals bei mir maldas Problem gelöst, denn wenn du code ausführst in deiner Funktion, kann es sein das du die Register und Falgs aenderst.
FOLGE: es könnte ja sein das der Register EDI oder ein anderer die Rücksprung Adresse beinhalt(ete). Darum IMER alles sichern.

Probiers am bestern mal aus.