Langouster 's Blog(虾 窝)

一不小心从某软件里看到一个强大的dll与强大的sys，直接上图看dll的导出函数：

看到了吗，可以直接调一下就隐藏进程。

由于这个软件的使用范围还非常的广，所有这两个文件基本已被杀软白名单放过，上传到virustotal上看看：

sys文件:     结果: 1/41 (2.44%)

...

在ntdll里有一张表，叫作LdrpHashTable，这张hash表中保存了进程已经的模块列表，函数GetModuleHandle就是通过查找这张句返回模块句柄的。

这张hash表也指向LDR_DATA_TABLE_ENTRY，作为HashLinks字段：

typedef struct _LDR_DATA_TABLE_ENTRY
{    
 LIST_ENTRY      InLoadOrderLinks;
...