Driver-HideKernelThread-IoCancelIrp

不是我的代码。仅用于保存 https://bbs.pediy.com/thread-272795.htm

原理

将线程入口地址设置为 IoCancelIrp，并将上下文设置为你创建的 irp。 然后线程将调用 IoCancelIrp。当被调用时，将执行取消 IRP 的操作。 这将进而调用 IRP->CancelRoutine。所以我们只需要将自己的线程入口地址设置为 IRP->CancelRoutine。

如何检测？

• 检测起始入口地址是否为 IoCancelIrp。
• 向系统线程插入 APC 并遍历栈。