//

// 函数名称 : HookNtTerminateProcess

// 描    述 : 自定义的 NtOpenProcess，用来实现 Hook Kernel API

// 日    期 : 2013/06/28

// 参    数 : ProcessHandle:过程句柄 ExitStatus:

// 返 回 值 : 

//

NTSTATUS HookNtTerminateProcess（__in_opt HANDLE ProcessHandle，__in NTSTATUS ExitStatus）

{

    ULONG uPID;

    NTSTATUS rtStatus;

    PCHAR pStrProcName;

    PEPROCESS pEProcess;

    ANSI_STRING strProcName;



    // 经由过程过程句柄来获得该过程所对应的 FileObject 对象，因为这里是过程对象，天然获得的是 EPROCESS 对象

    rtStatus = ObReferenceObjectByHandle（ProcessHandle， FILE_READ_DATA， NULL， KernelMode， （PVOID）&pEProcess， NULL）;

    if （!NT_SUCCESS（rtStatus））

    {

        return rtStatus;

    }

    // 保存 SSDT 中本来的 NtTerminateProcess 地址

    pOldNtTerminateProcess = （NTTERMINATEPROCESS）oldSysServiceAddr[SYSCALL_INDEX（ZwTerminateProcess）];



    // 经由过程该函数可以获取到过程名称和过程 ID，该函数在内核中本质是导出的（在 WRK 中可以看到）

    // 然则 ntddk.h 中并没有处处，所以须要本身声明才干应用

    uPID = （ULONG）PsGetProcessId（pEProcess）;

    pStrProcName = _strupr（（TCHAR ）PsGetProcessImageFileName（pEProcess））;//应用微软未公开的PsGetProcessImageFileName函数获取过程名



    // 经由过程过程名来初始化一个 ASCII 字符串

    RtlInitAnsiString（&strProcName， pStrProcName）;



    if （ValidateProcessNeedProtect（uPID） != -1）

    {

        // 确保调用者过程可以或许停止（这里主如果指 taskmgr.exe）

        if （uPID != （ULONG）PsGetProcessId（PsGetCurrentProcess（）））

        {

            // 若是该过程是所保护的的过程的话，则返回权限不敷的异常即可

            return STATUS_ACCESS_DENIED;

        }

    }

    // 对于非保护的过程可以直接调用本来 SSDT 中的 NtTerminateProcess 来停止过程

    rtStatus = pOldNtTerminateProcess（ProcessHandle， ExitStatus）;

    return rtStatus;

}