Respostas:
Não há identificação de processo 1,2 ou 3 devido ao funcionamento da tabela de manipulação do kernel do NT.
Alças são sempre múltiplos de quatro. O objeto de processo de manipulação do Kernel é usado para identificadores de processo e IDs de processo / encadeamento. Acontece que todos os valores de manipulação iniciam em 0x4 (bit 2) , e o InitialSystemProcess é o primeiro processo a ser criado, obtendo um PID de 4. O processo inativo não é realmente um processo e você não pode abri-lo. Provavelmente não possui um PID real, mas a maioria das ferramentas considera 0.
Mais sobre a tabela de identificadores do NT aqui, embora isso seja preciso apenas para o NT3-5 (xp), pois o Windows 7 agora exige que você faça referência apenas aos identificadores do kernel se anexado ao PsInitialSystemProcess.
Mais sobre o Windows 7/8 Lidar com limites de Mark Russinovich
