作者：无聊的菜鸟
声明：无聊+无意义的动作

  mov     eax, fs:[30]
  mov     eax, [eax+C]
  add     eax, 0C
  mov     ecx, [eax]
  push    dword ptr [ecx]
  pop     dword ptr [eax]
  mov     edi, [eax]
  xchg    edi, ecx
  sub     ecx, edi
  xor     eax, eax
  rep     stos byte ptr es:[edi]

这段代码可以在程序的任何地方，骗骗和LordPE相同枚举原理的程序还是可以的。Taskmgr/ProcessExplorer？不要想了。

响应Forgot的号召，修改了下，这次没有晴空节点，但是制造了一个不会模块列表中没有Kernel32.dll的进程。（用LordPE查看）
  pushad
  mov     eax, fs:[30]
  mov     eax, [eax+C]
  add     eax, 0C
  mov     eax, [eax]
  mov     eax, [eax]
  mov     edi, [eax]
  push    dword ptr [edi]
  pop     dword ptr [eax]
  push    dword ptr [edi+8]
  pop     dword ptr [eax+8]
  push    dword ptr [edi+10]
  pop     dword ptr [eax+10]
  mov     eax, [edi]
  push    dword ptr [edi+4]
  pop     dword ptr [eax+4]
  push    dword ptr [edi+C]
  pop     dword ptr [eax+C]
  push    dword ptr [edi+14]
  pop     dword ptr [eax+14]
  popad

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课