gmh5225/driver-hidekernelthread-iocancelirpWindows 커널 드라이버 기법으로, IoCancelIrp와 IRP 취소 루틴을 악용하여 커널 스레드를 숨기며, 숨겨진 스레드를 식별하기 위한 탐지 방법을 제공합니다.
내 코드가 아님. 저장용일 뿐임 https://bbs.pediy.com/thread-272795.htm
스레드 진입 주소를 IoCancelIrp로 설정하고 컨텍스트를 생성한 irp로 설정한다. 그러면 스레드가 IoCancelIrp를 호출하게 된다. 호출되면 IRP를 취소하는 작업을 수행한다. 그러면 IRP->CancelRoutine이 호출된다. 따라서 우리는 자신의 스레드 진입 주소를 IRP->CancelRoutine으로 설정하기만 하면 된다.
