gmh5225/driver-hidekernelthread-iocancelirpتقنية برنامج تشغيل نواة Windows التي تخفي خيوط النواة عبر استغلال IoCancelIrp وإجراءات إلغاء IRP، مع طرق كشف لتحديد الخيوط المخفية.
ليس الكود الخاص بي. فقط للحفظ https://bbs.pediy.com/thread-272795.htm
قم بتعيين عنوان نقطة دخول الخيط (thread entry address) إلى IoCancelIrp والسياق (context) إلى الـ irp الذي أنشأته. ثم سيقوم الخيط باستدعاء IoCancelIrp. عند الاستدعاء، سيتم تنفيذ عملية إلغاء الـ IRP. سيؤدي هذا بعد ذلك إلى استدعاء IRP->CancelRoutine. لذا كل ما علينا فعله هو تعيين عنوان نقطة دخول الخيط الخاص بنا إلى IRP->CancelRoutine.
