从任务管理器隐藏进程

Question

什么技术被用来对任务管理器隐藏一个进程？我目前正在研究如何在C++中做到这一点。这个过程叫勾搭吗？

http://www.codeproject.com/Articles/3978/Trap-CtrlAltDel-Hide-Application-in-Task-List-on-W

我正在自学的书：RootKits:颠覆Windows内核

Answer 1

rootkit用自己实现的地址替换对EnumProcesses()的合法调用。它的实现调用原始进程，但在返回列表之前，它会删除对被告知隐藏的进程的任何提及。

虽然行为和结果是相似的，但我认为挂钩略有不同，因为它可以合法地进行。挂钩通常是通过官方支持的API完成的，操作系统跟踪所有这样的钩子，以便在挂钩过程终止时撤销它们。相反，这里可以看到对微软挂钩机制的描述。恶意软件通常直接修改内存而不通知操作系统。