Hook　ZwOpenFile时怎样得到文件的完整路径？

根据POBJECT_ATTRIBUTES参数应该可以得到的。

typedef struct _OBJECT_ATTRIBUTES {
    ULONG Length;
    HANDLE RootDirectory;
    PUNICODE_STRING ObjectName;
    ULONG Attributes;
    PVOID SecurityDescriptor;        // Points to type SECURITY_DESCRIPTOR
    PVOID SecurityQualityOfService;  // Points to type SECURITY_QUALITY_OF_SERVICE
} OBJECT_ATTRIBUTES;

 

   我只用了第二个参数ObjectName,但是有的得不到文件名，有的得不到路径，有的却都可以得到，不知道为什么？楼上能详细一些吗？

你最好结合两个参数来判断吧。参考MSDN看看更详细的信息。