ich habe mal ein bisschen im Internet nach einer merkwürdigen Sache gesucht.
Bei diassemblieren einer DLL ist mir halt mal aufgefallen, dass im Prologue eine Assembler Instruktion enthalten ist die einem 2Byte NOP sehr ähnlich sieht.

mov edi, edi

Ich bin dann mal irgendwann dahinter gekommen, dass diese no-op während eines HotPatches gegen einen jmp zur gepatchten Funktion ersetzt wird.
Jetzt hab ich also mal versucht da was nachzu basteln:

void lockUnhandledExceptionFilter() 
{
    HMODULE kernel32 = LoadLibraryA("kernel32.dll");
    assert(kernel32);

    if (FARPROC gpaSetUnhandledExceptionFilter = GetProcAddress(kernel32, "SetUnhandledExceptionFilter")) 
	{
        unsigned char expected_code[] = {
											0x8B, 0xFF, // mov edi,edi
											0x55,       // push ebp
											0x8B, 0xEC, // mov ebp,esp
										 };

        // only replace code we expect
        if (memcmp(expected_code, gpaSetUnhandledExceptionFilter, sizeof(expected_code)) == 0) 
		{
            unsigned char new_code[] = {
											0x33, 0xC0,       // xor eax,eax
											0xC2, 0x04, 0x00, // ret 4
										};

            //BOOST_STATIC_ASSERT(sizeof(expected_code) == sizeof(new_code));

            DWORD old_protect;
            if (VirtualProtect(gpaSetUnhandledExceptionFilter, sizeof(new_code), PAGE_EXECUTE_READWRITE, &old_protect)) 
			{
                CopyMemory(gpaSetUnhandledExceptionFilter, new_code, sizeof(new_code));

                DWORD dummy;
                VirtualProtect(gpaSetUnhandledExceptionFilter, sizeof(new_code), old_protect, &dummy);

                FlushInstructionCache(GetCurrentProcess(), gpaSetUnhandledExceptionFilter, sizeof(new_code));

				SetUnhandledExceptionFilter(0);
            }
        }
    }
    FreeLibrary(kernel32);
}

Um ehrlich zu sein ist es auch noch copy&paste gewesen;-)

Nun meine Frage. Wenn ich den Code rennen lasse dann wird auch, wie erwartet, die Instruktionen geändert. Wenn ic allerdings meine Applikation neu starte dann ist wieder der alte Prologue drin. Woran kann das liegen und wie kann ich es relaisieren, dass die Instruktionen permanent(also so lange das System läuft) vorhanden sind?
Außerdem würde ich gerne wissen wann das wieder "zurück gestellt" wird. Immer wenn meine Applikation beendet wird oder ist da irgendwo ein Timer der dann als Beispiel alle 2 Sekunden überprüft ob alles ok ist?

weiß denn keiner eine Antwort?

Irgendjemand weiß das sicher. Du hast bloß noch nicht gemerkt, dass deine Frage rein gar nichts mit C++ zu tun hat.