inline hook也就是直接修改内存中指令

作用是隐藏进程。

思路就是先挂钩ZwQuerySystemInformation，jmp到自己的myZwQuerySystemInformation，脱钩，调用原来的ZwQuerySystemInformation，过滤处理，再挂钩上去等待下一次调用。是一个.dll文件，用dll注入勾取全局即可，不过要对应bit(64位对64,32对32）。再狠一点可以在勾取全局的CreateProcess，为每个新进程都注入这个dll