Driver-HideKernelThread-IoCancelIrp

Driver-HideKernelThread-IoCancelIrp 自分のコードではない。保存用のみ https://bbs.pediy.com/thread-272795.htm 原理 スレッドのエントリアドレスをIoCancelIrpに、コンテキストを作成したirpに設定する。 するとスレッドはIoCancelIrpを呼び出す。呼び出されると、IRPをキャンセルする操作を実行する。 これによりIRP-CancelRoutineが呼び出される。したがって、自身のスレッドエントリアドレスをIRP-CancelRoutineに設定するだけでよい。 検出方法は？...