gmh5225/driver-hidekernelthread-iocancelirpWindows kernel driver तकनीक जो IoCancelIrp और IRP cancel routines का दुरुपयोग करके kernel threads को छिपाती है, साथ ही छिपे हुए threads की पहचान करने के लिए detection methods प्रदान करती है।
मेरा कोड नहीं है। केवल सहेजने के लिए https://bbs.pediy.com/thread-272795.htm
थ्रेड एंट्री एड्रेस को IoCancelIrp पर सेट करें और कॉन्टेक्स्ट को अपने बनाए गए irp पर सेट करें। फिर थ्रेड IoCancelIrp को कॉल करेगा। जब कॉल किया जाता है, तो IRP को कैंसिल करने की क्रिया करेगा। यह फिर IRP->CancelRoutine को कॉल करेगा। इसलिए हमें बस अपने थ्रेड एंट्री एड्रेस को IRP->CancelRoutine पर सेट करना होगा।
