用户态检测内核级的隐藏进程

自从买了《黑客防线VC专辑》之后，就一直在研究里面关于检测隐藏进程的文章。书中检测隐藏进程的方法主要分为检测PSpCidTable、检测进程调度链或者挂钩SwapContext。然而我遗憾的发现，这些方法不仅要编写虚拟设备驱动程序，而且还检查不出著名的进程隐藏实例phide_ex。其实逃避这些方法的检测很简单，只要把自己的信息在PspCidTable上抹除，以及暂时不调度自身或者恢复相应的钩子就可以了。