Windows 内核下系统线程的创建与终止

今天在公司遇到一个WLK测试failed的Issue，failed的原因是driver在unload时，发生了BSOD。

Check了MiniDump File后，bug check 0xCE:

DRIVER_UNLOADED_WITHOUT_CANCELLING_PENDING_OPERATIONS

可能的原因是：

This driver failed to cancel lookaside lists, DPCs, worker threads, or other such items before unload.

遇到这种问题，一般是比较难查的，但是可以去看driver中到底那些地方用到了DPC，thread等，首先可以从code上分析可能出现问题的case。我首先将driver中创建的系统线程disable了（本线程通过INF注册表键值控制）。在运行一下WLK测试，通过了。

分析我们创建的系统线程，发现没有调用PsTerminateThread（）来终止线程，当unload driver时。

其实原作者在code中用到了终止，只是他的想法是break跳出系统的while循环，但是系统没有被杀死。

PsCreateSystemThread（）创建系统线程只能自杀。

明天在附上code示例。