DKOM 이라는 커널 오브젝트를 직접 수정하는 루트킷 기법이 있는데

윈도우 커널 내부에선 프로세스를 EPROCESS라는 추상 타입 단위로 관리를 함

이 타입 필드중에 token이라는 권한을 명세한 필드가 있는데 있는데 

이 token을  cmd에 복사해서 찍어보니까

저런식으로 커널이랑 동급 권한을 가져버린 유저 레벨 프로세스가 되어버림