论文部分内容阅读
PspCidTable表保存着所有进程和线程对象的指针，遍历PspCidTable表可以枚举所有进程包括隐藏进程。分析了windows7的PspCidTable表的结构，论述了windows7的PspCidTable表的内存地址获取方法，遍历PspCidTable表的算法，最后给出自动检测的实现步骤及方法。在windows7操作系统上实验表明可高效枚举所有进程，包括通过挂钩枚举进程的函数或进入内核空间直接修改内核数据来达到隐藏自身目的的进程。