EPROCESS

SSDT的ZwQuerySystemInformation获取进程也是检查内核的EPROCESS链表来获取，所以这次我们直接修改这个数据结构，把要隐藏的从链表上摘去，每个版本的EPROCESS结构有点不同，所以要根据内核版本改变偏移，这次是xp下实现（NT5.1），除了能隐藏进程还能改变所有者，权限等。另：没写显现的模块，不过也就是把刚才摘去的放回链表而已，没啥难度。