大概瞄了几眼，蓝屏的地方太多了。。

windbg + VM来调式吧，你会很清楚的知道蓝屏在哪句代码上，一出问题就马上提问，水平提高不了多少的。。。

就是因为我这边不能搭建调试的环境，所以才给大侠们看的。

自己去网上找个hook引擎来替换下面这个吧，硬盘不小心被我格了。。。

#include <ntddk.h>
#include "InlineHook.h"

typedef NTSTATUS (*ZWTERMINATEPROCESS)(
                                                                           IN HANDLE  ProcessHandle,
                                                                           IN NTSTATUS  ExitStatus);
ZWTERMINATEPROCESS OldZwTerminateProcess;

int ZwTerminateProcessPatchCodeLen = 0;

#pragma LOCKEDCODE
PVOID ZwTerminateProcessRet;

int iProcess = FALSE;

#pragma LOCKEDCODE
__declspec(naked) NTSTATUS ZwTerminateProcessHookZone(,...)
{
        _asm
        {
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                _emit 0x90;
                jmp [ZwTerminateProcessRet];
        }
}

NTSTATUS DriverUnload(
                                          IN PDRIVER_OBJECT  DriverObject
                                          )
{
        if (iProcess == TRUE)
        {
                UnHookApi(L"ZwTerminateProcess",FALSE,0,(PVOID)ZwTerminateProcessHookZone,ZwTerminateProcessPatchCodeLen);
        }
        DbgPrint("驱动已经被卸载了\n");
        return STATUS_SUCCESS;
}
NTSTATUS
NewZwTerminateProcess(
                                          IN HANDLE  ProcessHandle,
                                          IN NTSTATUS  ExitStatus
                                          )
{
        NTSTATUS status;

        DbgPrint("Hook Success\n");

        OldZwTerminateProcess = (ZWTERMINATEPROCESS)ZwTerminateProcessHookZone;

        status = OldZwTerminateProcess(ProcessHandle,ExitStatus);
        if( NT_SUCCESS(status))
        {
                return status;
        }
        return status;
}
NTSTATUS
DriverEntry(
                        IN PDRIVER_OBJECT  DriverObject,
                        IN PUNICODE_STRING  RegistryPath
                        )
{
        int bRet;
        DbgPrint("驱动已经加载了\n");
        DbgPrint("Hello World\n");
        DriverObject->DriverUnload = DriverUnload;
        bRet = HookApi((DWORD)NewZwTerminateProcess,L"ZwTerminateProcess",FALSE,0,(PVOID)ZwTerminateProcessHookZone,&ZwTerminateProcessPatchCodeLen,&ZwTerminateProcessRet);
        if(!bRet)
        {
                DbgPrint("hook ZwTerminateProcess failed\n");

        }else{

                iProcess = TRUE;
        }
        return STATUS_SUCCESS;
}

请参考 详谈内核三步走inline实现

http://bbs.pediy.com/showthread.php?t=98493&highlight=

vmware经常靠不住，我前天HOOK WRITE_PORT_UCHAR就失败了，一改写hal.exe的内存就死机。也不蓝屏，调试器里也没什么提示。换真机调试就正常。所以还是双物理机调试稳当点

hello，chen老师 会看新的机会么？