用procexp.exe找到启动参数是C:\WINDOWS\system32\svchost.exe -k NetworkService的svchost进程，

然后用winhex打开此进程，搜索\drivers\etc\hosts，修改一下这个文件名，比如\drivers\etc\hao2，

然后随便改改etc目录下的文件(FindFirstChangeNotificationW)，svchost就会读取\drivers\etc\hao2更新hosts cache，

真正起作用的就变成hao2，而不是hosts了。

跟hosts文件有关的DLL是dnsrslvr.dll和dnsapi.dll