Driver-HideKernelThread-IoCancelIrp

自分のコードではない。保存用のみ https://bbs.pediy.com/thread-272795.htm

原理

スレッドのエントリアドレスをIoCancelIrpに、コンテキストを作成したirpに設定する。 するとスレッドはIoCancelIrpを呼び出す。呼び出されると、IRPをキャンセルする操作を実行する。 これによりIRP->CancelRoutineが呼び出される。したがって、自身のスレッドエントリアドレスをIRP->CancelRoutineに設定するだけでよい。

検出方法は？

• 開始エントリアドレスがIoCancelIrpであることを検出する。
• システムスレッドにAPCを挿入し、スタックをウォークする。