Question

进程的病毒进程

Answer 1

当确认windows系统中存在病毒，但是通过“任务管理器”又找不出异样的进程，这说明病毒采用了一些隐藏措施，总结出来有三种隐藏方法：
以假乱真
通常病毒的进程名称采用这样的命名方式：将系统中正常进程名中的o改为0，l改为i，i改为j。比如系统中的正常进程有：svchost.exe、explorer.exe、iexplore.exe、winlogon.exe等，而有些病毒会这样命名：svch0st.exe、explore.exe、iexplorer.exe、winlogin.exe。微乎其微的进程名称差异让用户很难发现异常。
偷梁换柱
利用“任务管理器”无法查看进程对应可执行文件这一缺陷。比如svchost.exe进程对应的可执行文件位于“C:\WINDOWS\system32”目录下（Windows2000则是C:\WINNT\system32目录），如果病毒将自身复制到“C:\WINDOWS\”中，并改名为svchost.exe，运行后，我们在“任务管理器”中看到的也是svchost.exe，和正常的系统进程无异。此时，仅仅从进程名称上是无法判断正常进程还是异常进程的。
借尸还魂
采用进程插入技术，将病毒运行所需的dll文件插入正常的系统进程中，表面上看无任何可疑情况，实质上系统进程已经被病毒控制了，除非借助专业的进程检测工具，否则要想发现隐藏在其中的病毒是很困难的。
相关内容(操作系统学习)：fork()，线程，管程，进程间通信。