Hook ZwOpenFile和ZwCreateFile的问题

我写了段代码挂钩了ZwOpenFile和ZwCreateFile，来实现控制对文件的访问，其中ZwOpenFile中就加了一个if语句如下：
if(ObjectAttributes->ObjectName->Buffer&&wcsstr(ObjectAttributes->ObjectName->Buffer, L"1111.txt" ))
     {
      DbgPrint("ZwOpenFile ObjectAttributes->ObjectName=%ws",ObjectAttributes->ObjectName->Buffer);
      return STATUS_UNSUCCESSFUL;
     }
//调用RealZwOpenFile
在ZwCreateFile中也只有一个if语句：
if(ObjectAttributes->ObjectName->Buffer&&wcsstr(ObjectAttributes->ObjectName->Buffer, L"1111.txt" ))
    {
   DbgPrint("ZwCreateFile ACCESS_DENIED ObjectAttributes->ObjectName=%ws",ObjectAttributes->ObjectName->Buffer);
   return STATUS_UNSUCCESSFUL;
  }
//调用RealZwCreateFile
调试的时候双击打开一个1111.txt文件，发现有三次调用，分别是调用ZwOpenFile，ZwOpenFile，ZwCreateFile，我不明白是我的代码哪里写错了，还是Windows本来的调用顺序就是这样的？希望牛人帮帮我，谢谢！另外我发现在recent文件夹中多了1111.txt(2).lnk,1111.txt(3).lnk，为什么？

牛人呢，帮小弟解决一下，非常感谢！！！！！！

等着牛人来解惑。呵呵

老牛啊，你们在哪？？？这个问题没有解决我的毕设就玩完了。。。

等了这么多天了，难道真没人知道吗？又试着监控了一下系统调用，没有发现什么规律，迷惑中。。。

没有人能帮助我吗？