c++ - 防止 McAfee Dll 注入(inject)

Question

我有一个在 WinSock 模块(发送和接收函数)上做一些内联 Hook 的过程。在装有 McAfee 的机器上，我可以看到有两个 dll 被注入(inject)到我的进程中:

• hipi.dll
• hipqa.dll

两者都可能还在这些函数上进行内联 Hook ，我遇到了冲突和不需要的行为。是否有阻止/卸载这些 dll 的选项，这样它们就不会受到干扰？

10倍，盖伊

Answer 1

有很多场景可以实现 DLL 注入(inject)(Hooking)，顺便说一句，你必须了解更多关于每种方法背后的工作原理，最常见的一种是使用 CreateRemoteThread() API 函数，然后你必须注入(inject)你的安全 DLL在每个进程上 Hook /重定向/拒绝对 CreateRemoteThread() 的任何调用或任何“危险的”API 调用。

PS:但请记住:

user-mode hooking can NEVER be an option to apply additional security checks in any safe manner. If you only want to “sandbox” a dedicated process, you know well about, and the process in fact doesn’t know about EasyHook, this might succeed! But don’t ever attempt to write any security software based on user mode hooking. It won’t work, I promise you…