摘要： 进程对象，线程对象都是在系统空间，但是peb,teb却是在用户空间。因为它们需要一些用户态的代码来修改它们。 csrss会为该会话中每个进程创建一个CSR_PROCESS的结构。 win32k.sys 会为那些第一次使用GUI的线程所属的进程创建　W32PROCESS结构。 windbg查看： d... 阅读全文