我想简单保护一下程序，
所以inline hook了ObReferenceObjectByHandle，

现在任务管理里面已经阻止结束了，
用命令行
taskkill /f /im:XXX
taskkill /f /PID XXX
也都可以阻止强制关闭了，

可是去掉 /f 参数
直接用
taskkill /PID XXX
就会死机，

还有一种情况是，
程序直接点叉关闭也会死机，
不知道是什么原因造成这两种情况，会死机呢？

我hook代码是这样的：

NTSTATUS __stdcall
fake_ObReferenceObjectByHandle(
                                   IN HANDLE Handle,
                                   IN ACCESS_MASK DesiredAccess,
                                   IN POBJECT_TYPE ObjectType OPTIONAL,
                                   IN KPROCESSOR_MODE AccessMode,
                                   OUT PVOID *Object,
                                   OUT POBJECT_HANDLE_INFORMATION HandleInformation OPTIONAL )
{  
        PVOID ProcessObject;
        PEPROCESS Process;
        NTSTATUS Status;

        char* findpointer=NULL;
        char* ProtectName = "XXX.exe";

        if(*PsProcessType==ObjectType)
        {
                Status = org_ObReferenceObjectByHandle(Handle, DesiredAccess, ObjectType,AccessMode, &Process, NULL);

                if (NT_SUCCESS(Status))
                {                       
                        if(DesiredAccess == PROCESS_TERMINATE )
                        {

                                if((findpointer=strstr((char*)((char*)Process + g_ImageFileName), ProtectName)) != NULL)
                                {

                                        return STATUS_ACCESS_DENIED;
                                }
                        }
                }
        }

        return org_ObReferenceObjectByHandle(Handle,DesiredAccess,ObjectType,AccessMode,Object,HandleInformation);        
}

[课程]Linux pwn 探索篇！