从pid找到EPROCESS，NtOpenProcess是这么找的
lkd> dd nt!PspCidTable
8056a760 e1001ca8 00000002 00000001 00000000 // PspCidTable就是一个Handle_Table
8056a770 00000000 00000000 00000000 00000000
8056a780 e137052f 00000000 00000000 00000000
lkd> dt nt!_handle_table e1001ca8
+0x000 TableCode : 0xe1206001 // TableCode 的用处在另一篇关于句柄表的文章
+0x004 QuotaProcess : (null) // 这个句柄表是没有所属进程的
+0x008 UniqueProcessId : (null)
+0x00c HandleTableLock : [4] _EX_PUSH_LOCK
+0x01c HandleTableList : _LIST_ENTRY [ 0xe1001cc4 - 0xe1001cc4 ]
+0x024 HandleContentionEvent : _EX_PUSH_LOCK
+0x028 DebugInfo : (null)
+0x02c ExtraInfoPages : 0
+0x030 FirstFree : 0xadc
+0x034 LastFree : 0xa00
+0x038 NextHandleNeedingPool : 0x1000
+0x03c HandleCount : 897
+0x040 Flags : 1
+0x040 StrictFIFO : 0y1
lkd> dd 0xe1206000
e1206000 e1005000 e1211000 00000000 00000000 // 两张句柄表
e1206010 00000000 00000000 00000000 00000000
e1206020 00000000 00000000 00000000 00000000
用explorer的PID查一下，pid是364（10进制），乘2转16进制，每个0级表只能存512项，算好在哪个表
lkd> dd e1005000+2d8
e10052d8 894389d1 00000000 8938b199 00000000
e10052e8 89027881 00000000 893a8021 00000000
e10052f8 8942eb31 00000000 891dca21 00000000
lkd> dt nt!_eprocess 894389d1-1
+0x168 Filler : 0
+0x170 Session : 0xf79a5000
+0x174 ImageFileName : [16] "explorer.exe"
为什么减1？不知道，xp sp3就是这样