Answers:
由于NT内核处理表的工作方式,因此没有进程ID 1,2,or3。
句柄始终是四个的倍数。内核句柄进程对象用于进程句柄和进程/线程ID。碰巧句柄值都从0x4(位2)开始,并且InitialSystemProcess是要创建的第一个进程,因此它的PID为4。空闲进程实际上不是一个进程,您无法打开它。它可能没有真实的PID,但是大多数工具都将其设为0。
关于NT句柄表的更多信息,尽管这仅对NT3-5(xp)正确,因为Windows 7现在要求您仅在连接到PsInitialSystemProcess时引用内核句柄。