SSDT HOOK已经是很老的技术了，但对新手来说还是有一些嚼头的。根据常规的做法，我们应该挂钩ZwTerminateProcess函数，不过这个函数仅有两个参数，其中一个是进程句柄，它指定了需要被结束的进程。　　由于我们不能直接从进程句柄获取有关进程的一些信息，这就使得一些“懒惰”的家伙尝试找一些捷径。由于要想获得句柄通常都需要首先调用ZwOpenProcess，而ZwOpenProcess需要传递PID作为标识，于是有些人就不管ZwTerminateProcess函数了，改为挂钩ZwOpenProcess，这样你无法打开我们关注的进程，也就无法获得句柄，自然也就没办法结束我们的进程。　　乍一看，这还是真是一种思路巧妙的做法。不过，点心毕竟是不能当正餐吃的，这样的做法作为临时救火也没什么，要是一直抱着它不愿放弃就大错特错了。　　实际上，这种做法是有副作用的，比如通常在ring3使用PSAPI枚举进程时，我们经常使用下面的代码来获取进程完整路径：　　HANDLE hProcess = OpenProcess(　　PROCESS_QUERY_INFORMATION | PROCESS_VM_READ,　　FALSE,　　ProcessId[i]);　　if(hProcess)　　{　　EnumProcessModules(hProcess,&hModule,sizeof(hModule),&cbNeeded);　　GetModuleFileNameEx(hProcess,hModule,szPath,sizeof(szPath));　　// 输出到列表框　　}　　CloseHandle(hProcess);　　如果我们挂钩了ZwOpenProcess，那么使用这种 *** 枚举进程的程序就可能无法获得我们的保护进程信息。有人会说这样还不好？不要忘了，我们的目的不是隐藏，而是保护。自我保护是任何人都无可非议的做法，但尝试隐藏自身却会让人怀疑你的目的。　　其实说穿了，我们挂钩ZwOpenProcess的根本原因是不会使用句柄得到进程信息。好吧，我们现在就介绍如何通过进程句柄获取信息。　　在炉子的《API HOOK实现ring3的进程保护》一文中给出了一种解决 *** ，即使用NTDLL导出的Zw(Nt)QueryInformationProcess函数。　　下面我们看看这个函数的声明：　　NTSYSAPI　　NTSTATUS　　NTAPI　　NtQueryInformationProcess(　　IN HANDLE        ProcessHandle,　　IN PROCESSINFOCLASS  ProcessInformationClass,　　OUT PVOID          ProcessInformation,　　IN ULONG         ProcessInformationLength,　　OUT PULONG        ReturnLength );　　这个函数的关键是第二个参数，它决定了第三个参数输出什么结构。现在我们可以将其填写为ProcessBasicInformation，这样我们会获得一个PROCESS_BASIC_INFORMATION结构的信息输出。而PROCESS_BASIC_INFORMATION结构的UniqueProcessId子域即是该句柄代表的进程ID。　　下面是通过句柄获得PID的代码：　　ULONG lRet;　　PVOID pBuffer;　　PROCESS_BASIC_INFORMATION  *pbi;　　pBuffer = ExAllocatePool(PagedPool, sizeof(PROCESS_BASIC_INFORMATION));　　ZwQueryInformationProcess(ProcessHandle,　　ProcessBasicInformation,　　pBuffer,　　sizeof(PROCESS_BASIC_INFORMATION),　　&lRet);　　pbi = (struct _PROCESS_BASIC_INFORMATION *)pBuffer;　　KdPrint(("ProcessHandle代表进程%d!", pbi.UniqueProcessId));　　有了PID剩下的就好办了，我们可以使用函数PsLookupProcessByProcessId来获取该进程的EPROCESS结构，这个结构中就有进程名的信息。