fullc0de님 블로그 참고 : http://fullc0de.egloos.com/3708461 


즉, 프로세스가 가질 수 있는 ID 가능 범위(0 ~ 0x41DC)까지 모두 순차적으로 진행하면서 OpenProcess 함수를 호출하여 유효성 여부를 검사한다. 그 후 CreateToolhelp32Snapshot 함수를 이용하여 현재 동작 중으로 나타나는 프로세스 리스트를 얻는다. 그리고 비교한다. 만약 스냅샷 함수를 통해 구한 리스트에는 없는데 OpenProcess로 얻은 리스트에는 존재한다면 숨겨져(hidden) 있다고 판단할 수 있다.

물론, 이것을 우회하기 위한 기법이 적용된 루트킷 중 대표적인 것이 FUTo이다.

PspCidTable 관련 자료

http://lucid7.egloos.com/1887320 -

이 게시물을...