求助ssdt hook ZwClose得到句柄，获取文件名

[VirtualRookit]

小弟想通过hook ZwClose获取句柄，通过句柄取得应用层调用CloseHandle的文件名怎么实现。
我把hookZwClose后得到句柄通过ObReferenceObjectByHandle(FileHandle, 0, *IoFileObjectType, KernelMode, &FileObject, NULL);后FileObject->FileName.Buffer是操作文件的进程名(如\windows\system\notepad.exe)，而我想得到的是文件名(如*.txt)。怎么做呢。