Найти процесс и завершить его

[Lag]

Добрый день! Пишу минифильтр файловой системы и хочу блокировать доступ к определенным файлам (в kernel-mode). С этой задачей я справился, но приложение, связанное с этим файлом остается открытым. Например, пользователь пытается открыть secretfile.txt, выплывает окно "Доступ запрещен", но сам блокнот остается открытым. Как мне завершить процесс приложения? Я уже пробовал PsGetCurrentProcessId, но по видимому, он возвращает не совсем корректный PID. За основу взят пример из WDK (minispy). Вот последняя версия кода измененного minispy.sys:

...
NTSTATUS TermFunction( HANDLE ProcessID )
  {
 NTSTATUS         ntStatus = STATUS_SUCCESS;
 HANDLE           hProcess;
 OBJECT_ATTRIBUTES ObjectAttributes;
 CLIENT_ID        ClientId;
 
 DbgPrint( "drvTerminateProcess( %u )", ProcessID );
 
 InitializeObjectAttributes( &ObjectAttributes, NULL, OBJ_INHERIT, NULL, NULL ); 
 
 ClientId.UniqueProcess = (HANDLE)ProcessID;
 ClientId.UniqueThread  = NULL; 
__try
     {
        ntStatus = ZwOpenProcess( &hProcess, PROCESS_ALL_ACCESS, &ObjectAttributes, &ClientId );
        if( NT_SUCCESS(ntStatus) )
        {
            ntStatus = ZwTerminateProcess( hProcess, 0 );
            if( !NT_SUCCESS(ntStatus) )
                DbgPrint( "ZwTerminateProcess failed with status : %08X\n", ntStatus );
 
            ZwClose( hProcess );
        }
        else
            DbgPrint( "ZwOpenProcess failed with status : %08X\n", ntStatus );
    }
    __except( EXCEPTION_EXECUTE_HANDLER )
     {
         ntStatus = STATUS_UNSUCCESSFUL;
         DbgPrint( "Exception caught in drvTerminateProcess()" );
     }
 
    return ntStatus;
 
    }
    ...
 
FLT_PREOP_CALLBACK_STATUS
SpyPreOperationCallback (
_Inout_ PFLT_CALLBACK_DATA Data,
_In_ PCFLT_RELATED_OBJECTS FltObjects,
_Flt_CompletionContext_Outptr_ PVOID *CompletionContext
)
{ 
UNICODE_STRING old_name;
PUNICODE_STRING new_old_name;
...
if (NT_SUCCESS( status )) {
 
        nameToUse = &nameInfo->Name;
 
        //
        //  Parse the name if requested
        //
 
        //Start of My func
        RtlInitUnicodeString( &old_name, L"\\Device\\HarddiskVolume2\\secretfile.txt" );
        new_old_name = &old_name;
        if(RtlCompareUnicodeString(nameToUse, new_old_name, FALSE) == 0){
            Data->IoStatus.Status = STATUS_ACCESS_DENIED;
 
            TermFunction(PsGetCurrentProcessId());
 
            return FLT_PREOP_COMPLETE; 
        }
...
}
....

}

[Smogg]

это совершенно хамское отношение к пользователю. Это у тебя к txt привязан блокнот. А у других - все совсем по другому. Word тоже txt открывает, есличо. А терминирование Worda означает безусловное закрытие всех рабочих документов и соответственно потерю неизвестного количества работы.

Так что ты вредительством занимаешься, а не делом)