PspAllocateProcess的函数原型如下：
NTSTATS PspAllocateProcess(
//父进程内核对象指针
IN PEPROCESS pParentEProcess,
//访问模式，表明调用来自用户态，还是内核态
IN KPROCESSOR_MODE AccessMode,
//新进程对象安全属性
IN POBJECT_ATTRIBUTES pProcessObjectAttributes,
//新进程的内存区对象句柄, 代表进程的映像文件
IN HANDLE SectionObject,
//令牌对象句柄
IN HANDLE hSeTokenObject,
//进程标识符
OUT PVOID pProcessFlags,
//传入传出结构体指针, 存放进程创建过程中一些句柄 内核对象, 大小0xC4
IN OUT CREATEPROCESSCONTEXT *pCreateProcessContext,
IN PVOID pUnKnow,
//如果成功创建新进程的EProcess , 则从这里传出PEprocess
OUT PPEPROCESS ppNewEprocess
);
