Hallo,

mir ist gerade eine merkwürdige Idee gekommen und auch wenn ich nicht weiß wozu es gut sein sollte interessiert mich ob es generell möglich währe. Wie der Titel bereits verrät ist die Frage ob es prinzipiell möglich währe DLLs aus einem Stream ein zu binden ohne den Umweg über die Platte zu machen.

Wie gesagt ich wüsste gegenwärtig nicht wozu es gut ist aber ich finde die Frage recht interessant .

Gruß
Klabautermann

Die Frage ist absolut nicht uninteressant. Ich stelle mir diese und die Frage danach ob das auch mit einer Exe geht, schon geraume Zeit.
Wenn man sich die Hilfe zu LoadLibrary und LoadModule anschaut ist dort aber immer nur von einem Dateinamen die Rede.
Irgendwie muss es aber gehen, wie machen es sonst Exepacker wie zum Beispiel UPX.
Mit Pipes / Namedpipes hatte ich keinen Erfolg.
Die File Mapping Functions machen einen guten Eindruck aber ich komme einfach nicht weiter. **im trüben stocher**

Irgendwo hatte ich zu einer Exe mal ein Beispiel gefunden und das hatte ich dann mit DLLs ausprobiert. Damals mit mäßigem Erfolg, weil ich noch nicht gut Assembler und Delphi konnte (den Aufruf des Codes muss man manuell mit Assembler machen, zumindest war es in dem Beispiel so und ich wüsste auch keine andere Möglichkeit).

Jetzt müsste ich das nur noch finden... Ich such mal nochmal, eben hab ichs nicht gefunden, aber auf einer meiner Festplatten wird es noch liegen...

Eigentlich kommt das vom Prinzip her dem was Exepacker (UPX) so machen doch schon recht nahe. Die müssen ja die Daten von der Platte erst einmal in den Speicher entpacken und dann ausführen. Und das geht ja auch mit DLLs wenn ich mich nicht vertue.

Der Source von UPX dürfte aber wohl doch etwas sehr extrem komplex sein.

Die Frage hab ich mir auch schon öfters gestellt. LoadLibrary macht ja im Prinzip nix anderes, als die DLL in den Speicher zu laden und ein Handle aufzumachen, damit man per GetProcAdress die Prozeduradressen bekommt.

Wann kommen eigentlich uall@ogc und Luckie online?

Prinzipiell unter NT ff. möglich und schon gemacht von Nico: www.michael-puff.de/...Delphi/Importe/Nico/ -> inmemexe.zip

Aber wozu soll das gut sein?

Hallo,

Luckie hat folgendes geschrieben:

Aber wozu soll das gut sein?

wie gesagt, mir kam nur auf die Idee als ich die DLL einen Drittanbieters einband. War also eine prinzipielle Frage.

Das einzige was mir momentan als Anwendungszweck einfiele währe vielleicht ein Plugin-System welches Funktion in DLLs und Daten in Confgidateien zu einer Plugin-Datei Zusammenlinkt und so verwendet. Aber warum es den Aufwand lohnen sollte kann ich aber auch nicht sagen.

Den Link werde ich mir heute Abend mal ansehen. Danke dafür.

// Edit: Oh noch eine Idee. Ich stelle sicher das immer die aktuelle DLL verwendet wird indem ich sie Direkt aus einem Internet Stream einbinde. Dadurch das ich die DLL nicht Speicher funktioniert das auch wenn mein Programm von einer CD gestartet wird und ich nicht ans System Verzeichnis will oder kann .

Gruß
Klabautermann

Wir verwenden ein Plugin-System, bei denen man die DLL man jederzeit zur Laufzeit ändern (a.k.a. 'hochladen') kann. Daher kam eine Einbindung der Original-DLL gar nicht erst in Bertracht. Wir erstellen eine Kopie der DLL im Windows-Temp-Verzeichnis und verbiegen alle Aufrufe an diese Kopie.

Du könntest also die DLL als binäre Resource im Stream halten, bei Bedarf einfach in eine Temp-Datei schaufeln.

Ein weiterer möglicher Einsatz wäre es, Angriffe auf ein Programm zu erschwehren. Mann könnte die Dll verschlüsselt aufbewahren und sie nur zur Laufzeit entschlüsseln und laden. Wobei natürlich immernoch die Möglichkeit besteht sie dann mit einem Debugger zu untersuchen. (geht mit Debugger Hooks zu erfassen, so das man auch da Gegenmaßnahmen ergreifen kann) Aber zumindest ist es so nicht mehr möglich eine geänderte Dll auf die Platte zu schreiben um diese in Zukunft zu verwenden.

Luckie hat folgendes geschrieben:

Prinzipiell unter NT ff. möglich und schon gemacht von Nico: www.michael-puff.de/...Delphi/Importe/Nico/ -> inmemexe.zip Aber wozu soll das gut sein?

Feine Sache, das Beispiel.
Mal abgesehen davon das sich mein Vierenscanner energisch gegen die InMemExe wehrt und irgendwas von einem Virus rumfaselt, ist die verwendete Technik schon absolut Genial. Ich hätte es so ähnlich versucht, bzw. werde es mal versuchen. jetzt nachdem noch ein paar fragen mehr geklärt sind. aber ich bin mir recht sicher das sich mein Scanner immer wieder haben wird und das ganze als Virus verkaufen will. Schließlich ist es eine Methode mit der auch Vieren, die an Programme angehängt sind ausgeführt werden könnten. Also ist es ja eigentlich gut das er was dazu sagt.

Soetwas wird bei vielen Anticheat Programmen benutzt (Valve Anti Cheat [VAC] bei Counter-Strike/Half-life) bzw. Warden (Warcaft3, World of Warcraft, StarCraft, DiabloII).
Die laden sich den Anticheat Schutz direkt vom Server entschlüsseln den und führen ih ndann direkt aus.

uall.overclock.ch/uallCollection/ @uallKernekl.LoadLibraryX ist eine eigene Implementation vom LoadLibrary (ein bisl abgeädnert kann man damit auch Streams angeben)

Danke!
Genau das ist es.
Sowas in der Art habe ich schon in einem anderen Programm verbaut. Nur habe ich bisher nicht rausfinden können wie man es hinbekommt eine selber in den Ram geladene DLL ausführbar zu machen. Bisher bin ich aber nur soweit gekommen sie in ihre Bestandteile auseinander zu bauen.
Was mich jetzt noch interessieren würde, kann man eigentlich auf die gleiche Art auch eine Exe laden und ausführen? Das einzige was es da nicht gibt ist DllMain. Dafür ja aber EXE Main. Nur das man das nicht so einfach ausführen sollte(kann). Sondern dafür einen neuen Prozess erstellen muss in dem es dann ausgeführt wird.
Oder irre ich mich da? Habe ich was übersehen?

Kannst eine Exe genau wie eine Dll benutzen und den Entrypoint einfach aufrufen anstatt dllmain.