2016年7月份实测xp下是调用自己构造的NtCreateProcessEx，vista以上是调用ntdll ! NtCreateUserProcess，win8.1+是直接调用kernelbase ! CreateProcess。

NTSTATUS  NtCreateUserProcess(
        OUT  PHANDLE  ProcessHandle,
        OUT  PHANDLE  ThreadHandle,
        IN  ACCESS_MASK  ProcessDesiredAccess,
        IN  ACCESS_MASK  ThreadDesiredAccess,
        IN  POBJECT_ATTRIBUTES  ProcessObjectAttributes  OPTIONAL,//这里的信息是空值。不知道是什么原因
        IN  POBJECT_ATTRIBUTES  ThreadObjectAttributes  OPTIONAL,
        IN  ULONG  CreateProcessFlags,
        IN  ULONG  CreateThreadFlags,
        IN  PRTL_USER_PROCESS_PARAMETERS  ProcessParameters,
        IN  PVOID  Parameter9,
        IN  PNT_PROC_THREAD_ATTRIBUTE_LIST  AttributeList
);

心随我愿 NTSTATUS NtCreateUserProcess( OUT PHANDLE ProcessHandle, OUT PHANDLE ThreadHandle, IN ...

看到后面的OPTIONAL了吗，OPTIONAL就代表可有可无，所以为空也是很正常的，没有任何问题。

PNT_PROC_THREAD_ATTRIBUTE_LIST        这个结构好象没人公布。。网上找了很久没找到

心随我愿 PNT_PROC_THREAD_ATTRIBUTE_LIST 这个结构好象没人公布。。网上找了很久没找到

7ffK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4c8W2M7X3#2A6L8Y4g2K6i4K6u0W2M7X3g2%4L8$3I4X3i4K6u0W2M7r3I4Q4x3V1k6@1k6i4u0E0K9h3&6#2M7#2)9J5c8R3`.`.

bcdK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4m8J5L8$3y4W2M7%4y4Z5j5h3y4C8k6i4u0Q4x3X3g2K6L8%4g2J5j5$3g2X3L8%4u0Y4k6g2)9J5k6h3&6W2N6q4)9J5c8X3c8G2j5#2)9J5c8X3&6@1M7s2y4S2M7r3W2Q4y4h3j5^5K9q4)9#2k6Y4y4G2N6i4u0U0k6g2)9J5k6h3S2@1L8h3H3`.
PPS_ATTRIBUTE_LIST    结构