DKOM(Direct Kernel Object Manipulation)就是直接内核对象操作技术。所有的操作系统都在内存中存储记账信息，他们通常采用结构或对象的形式,由对象管理器管理。当用户空间进程请求操作系统信息例如进程、线程或设备驱动程序列表时，这些对象被报告给用户。这些对象或结构位于内存中，因此可以直接对其进行修改。隐藏进程主要关注的windows关键数据结构是：进程的EPROCESS结构与线程的ETHREAD结构、链表（如进程、线程链表与CPU的调度链表）等等。DKOM通过操作这些数据结构来达到它们的目的。直接操作内核对象在隐藏进程这方面的应用很多。

在Windows内核中有一个活动进程链表PsAcvtivePeorecssList。它是一个双向链表，保存着系统中所有进程的EPROCESS结构。特别地，进程的EPROCESS结构包含一个具有指针成员FLINK和BLINK的LIST_ENTRY结构,这两个指针分别指向当前进程的前方和后方进程。当某些模块需要获得系统中运行的所有进程信息时，就会遍历这个链表。若在PsActviePoroessList链表上删除了某个进程对象，该进程将被隐藏起来。但这不影响进程的运行。由于Windows的线程管理器使用另外的数据结构，这些“隐藏”进程仍可运行。用这种方法隐藏过的进程，即使调用系统服务ZwQuerysystemnlofmratino也无法找到。

通过编写驱动程序，在内核层面的进程双向链表中摘除自身信息，这样一来不管如何枚举进程都无法发现彻底实现进程隐藏。

基于线程调度链的进程枚举技术可以枚举到系统线程信息，正如上所说的【这不影响进程的运行。由于Windows的线程管理器使用另外的数据结构】，隐藏进程技术不可能把这些结构给隐藏掉，否则自己连cpu时间片都分不到，根本就不会得到运行的机会。