gmh5225/driver-hidekernelthread-iocancelirpTechnique de pilote de noyau Windows qui dissimule les threads du noyau en abusant de IoCancelIrp et des routines d'annulation IRP, avec des méthodes de détection pour identifier les threads cachés.
pas mon code. uniquement pour sauvegarde https://bbs.pediy.com/thread-272795.htm
Définir l'adresse d'entrée du thread sur IoCancelIrp et le contexte sur l'irp que vous avez créé. Ensuite, le thread appellera IoCancelIrp. Lors de l'appel, il effectuera l'opération d'annulation de l'IRP. Cela appellera ensuite IRP->CancelRoutine. Il suffit donc de définir notre propre adresse d'entrée de thread sur IRP->CancelRoutine.
