rootkit 用它自己的实现地址替换了对 EnumProcesses() 的合法调用。它的实现调用原始的，但在它返回列表之前，它删除了它被告知隐藏的进程的任何提及。

虽然行为和结果相似，但我认为 hooking 略有不同，因为它可以合法地完成。挂钩通常是通过官方支持的 API 完成的，操作系统会跟踪所有此类挂钩，以便在挂钩过程终止时撤消它们。 可以在此处查看 Microsoft 的挂钩机制的描述。 相反，恶意软件通常直接修改内存而不通知操作系统。