摘要: 本人收集與網(wǎng)絡(luò)，不知原作者是誰(shuí)……
一：序言
下列情況不在討論之中(沒(méi)進(jìn)程)
1 通過(guò)CreateRemoteThread Inject代碼到另一個(gè)進(jìn)程(有種病毒就用這種方法,實(shí)現(xiàn)內(nèi)存感染的;其實(shí)還有更多應(yīng)用)
2 通過(guò)CreateRemoteThread LoadLibray一dll到另一個(gè)進(jìn)程(屏蔽Ctrl+Alt+Del,就是通過(guò)這種方法和SetWindowLog實(shí)現(xiàn))
二：進(jìn)程隱藏
1 Hook/InlineHook Api NtQuerySystemInformation(taskmgr.exe就是用這個(gè)函數(shù)得到Process list)
2 Hook/InlineHook Api Process32Next
3 把要隱藏的進(jìn)程的EPROCESS從LIST_ENTRY中摘除
a)ring0下驅(qū)動(dòng)實(shí)現(xiàn),注意:Nt/2000/xp/2003中PID和FLINK在EPROCESS中的offset不盡相同
b)ring3下利用call
閱讀全文