如何彻底隐藏exe进程
发布网友
发布时间：2022-04-07 01:09
共4个回答
懂视网
时间：2022-04-07 05:30
sedown.exe是360浏览器中自带的一个进程，它的缺点是可能会占用系统的资源。所以小伙伴们可以通过新建一个sedown.exe进程来替代自带的这个进程从而解决问题。具体方法来看一下小编是怎么做的。
彻底删除sedown.exe进程有什么方法
1.退出360浏览器
2.删除SeDown.exe
3.新建一个文件夹并重命名为SeDown.exe
这样可以阻止自动下载生成SeDown.exe，也就不会有讨厌的驻留进程。
更多进程相关信息：
wmi provider host进程介绍>>>
win7电脑提示进程干扰无法关机的解决方法分享>>>
热心网友
时间：2022-04-07 02:38
1)DLL挂靠大发
程序改写为DLL结构,挂靠Explorer.exe上运行
好处：没进程实体，普通进程查看无效
缺点：可以通过代码叫Explorer.exe Unload你的Dll，呵呵，还有Explorer出错时，会重新启用，那个时候需要重新挂靠你的DLL
改进：用Debug权限挂靠WinLogon.exe，哈哈，安全系数就高很多，WinLogon死了，你也就死机了
LYSoft主页的http://ly.activepower.net/projects/No Ctrl+Alt+Del.rar是DLL挂靠方法的例子，修改就可用
2）API Hook大发
关闭程序的实质是什么？TerminateProcess的API！
只要你的Application.Title：＝‘’就不会出现在任务管理器的第一页
第二页会出现的，但不怕，我Hook了TerminateProcess就可以保证安全了
TerminateProcess可以Hook？可以，但Hook了没用，Handle是未知的
因此实质上要Hook的是OpenProcess，只要是我的进程就拒绝打开
好处：不怕你见的到，你就是关不了我
缺点：CMD下的命令行方法Hook不到
改进：能够Hook系统服务就一定可以，可惜难度大，需要编写驱动
LYSoft主页的http://ly.activepower.net/projects/API Hook.rar是API Hook方法的例子，修改就可用
3）NT内核修改大发
修改NT系统内核对象PsLoadedMoleList上的ActiveProcessLink链表就可以在系统上“失踪”了，但实现这个功能需要驱动支持，没驱动的方法只能适合XP／2003，因为Nt5.1以上的ZwSystemDebugControl API才能支持内核访问
好处：你怎么都见不到进程的
缺点：难度过大，用内核工具仍然可以看见的，很多RootKit木马就用这个方法的
改进：几乎是终极*，没什么别的好方法了。
LYSoft主页的http://ly.activepower.net/projects/NTLowLevel.exe是演示程序，不提供代码，涉及技术机密，不便奉告
关键代码如下
function HideProcess: boolean;
label Err;
var
EProcess : DWord;
hPM, FLink, BLink: Cardinal;
begin
Result := false;
EProcess := GetCurrentEProcess;
if EProcess < 1 then Exit;
if not ReadVirtualMemory(EProcess+$88, @FLink, 4) then Exit;
if not ReadVirtualMemory(EProcess+$8C, @BLink, 4) then Exit;
if not WriteVirtualMemory(FLink+4, @BLink, 4) then Exit;
if not WriteVirtualMemory(BLink, @FLink, 4) then Exit;
Result := true;
end;
不要问为什么了，你需要NTDDK的知识才能明白的：）
4）远程线程大发
没有实体的存在，没进程，没DLL，只有代码
把代码直接注入进程空间VirtualAllocEx，用CreateRemoteThread运行，
好处：没可见的实体，隐蔽性最强
缺点：适合于简单代码，复杂的难以保证其可靠性和稳定性，病毒的最爱
改进：不需要什么了
这个没演示了，呵呵：）
注入某个进程空间，要涉及到API定位等一系列病毒式操作，在对方的身体运行呀
简单的代码可以，复杂的功能就很不适合，一般的程序根本就不适合，所以除非写病毒，否则不建议用这样的方法，因为连调试都变得很难
热心网友
时间：2022-04-07 03:56
方法一：修改注册表。打开注册表，展开到：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
找到"DisableTaskmgr"把dword值设置为00000000
方法二：
打开记事本，把下面的内容保存成.reg文件，然后双击导入恢复。
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskmgr"=dword:00000000
(最后一行留一空行)
方法三：利用组策略：
开始/运行/gpedit.msc,
在用户配置-管理模板-系统-CTRL+ALT+DELE选项，在左边找到“删除任务管理器”
双击打开，设置为未配置，或者禁用。
热心网友
时间：2022-04-07 05:31
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
找到"DisableTaskmgr"把dword值设置为00000000
方法二：
打开记事本，把下面的内容保存成.reg文件，然后双击导入恢复。
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskmgr"=dword:00000000
