HOOK了NtCreateFile后如何获取被操作文件名

要获取被操作的文件名，您可以在HOOK的回调函数中进行操作。具体步骤如下：
1. 在您的HOOK回调函数中，获取`NtCreateFile`函数的参数，包括`FileObject`和`FileName`。
2. 使用`ObReferenceObjectByHandle`函数将`FileObject`转换为文件对象。
3. 使用`IoFileObjectType`对象的`FileObject->FileName`成员获取文件名。
下面是一个示例代码，演示了如何获取被操作文件的文件名：

NTSTATUS NtCreateFileHook(
    OUT PHANDLE FileHandle,
    IN ACCESS_MASK DesiredAccess,
    IN POBJECT_ATTRIBUTES ObjectAttributes,
    OUT PIO_STATUS_BLOCK IoStatusBlock,
    IN PLARGE_INTEGER AllocationSize OPTIONAL,
    IN ULONG FileAttributes,
    IN ULONG ShareAccess,
    IN ULONG CreateDisposition,
    IN ULONG CreateOptions,
    IN PVOID EaBuffer OPTIONAL,
    IN ULONG EaLength
)
{
    // 调用原始的NtCreateFile函数
    NTSTATUS status = OriginalNtCreateFile(
        FileHandle,
        DesiredAccess,
        ObjectAttributes,
        IoStatusBlock,
        AllocationSize,
        FileAttributes,
        ShareAccess,
        CreateDisposition,
        CreateOptions,
        EaBuffer,
        EaLength
    );
    // 获取被操作的文件名
    if (NT_SUCCESS(status))
    {
        PFILE_OBJECT fileObject;
        status = ObReferenceObjectByHandle(*FileHandle, FILE_READ_ATTRIBUTES, *IoFileObjectType, 
        KernelMode, (PVOID*)&fileObject, NULL);
        if (NT_SUCCESS(status))
        {
            UNICODE_STRING fileName = fileObject->FileName;
            // 在这里进行你的处理，例如输出文件名
            DbgPrint(“%wZ\n”, &fileName);
            ObDereferenceObject(fileObject);
        }
    }
    return status;
}

请注意，这只是一个示例代码，用于说明如何在HOOK NtCreateFile后获取被操作的文件名。实际应用中，您需要根据具体的需求进行修改和完善。