【旧文章搬运】《从PEB获取内存中模块列表》的补充

原文发表于百度空间，2008-7-26
==========================================================================

继续研究PEB，这时候才发现之前写《从PEB获取内存中模块列表》一文时出现的错误．
下面是一个结构：

typedef struct _LDR_MODULE
{
LIST_ENTRY          InLoadOrderModuleList;
LIST_ENTRY          InMemoryOrderModuleList; 
LIST_ENTRY          InInitializationOrderModuleList; 
void*               BaseAddress; 
void*               EntryPoint;   
ULONG               SizeOfImage;
UNICODE_STRING   FullDllName;
UNICODE_STRING      BaseDllName;
ULONG               Flags;
SHORT               LoadCount;
SHORT               TlsIndex;
HANDLE              SectionHandle;
ULONG               CheckSum;
ULONG               TimeDateStamp;
} LDR_MODULE, *PLDR_MODULE;

 

从这个结构可以知道，如果按InLoadOrderModuleList遍历，那么InLoadOrderModuleList这个结构的地址就是LDR_MODULE结构的地址，但是如果按InMemoryOrderModuleList这个链表来遍历时，得到的下一个链表地址必须减去前面InLoadOrderModuleList这个结构所占的空间，得到的地址才是LDR_MODULE的地址，相应的，如果用第三个链表遍历的话，就要减去两个LIST_ENTRY的大小了．《从PEB获取内存中模块列表》一文中的代码和结果已修正．

正确写法如下：
pListEntry=(LIST_ENTRY*)(PUCHAR)&(pPEBLDR->InInitializationOrderModuleList);　//如果使用这个链表
pLdrMod=(LDR_MODULE*)( (char*) pListEntry-sizeof(LIST_ENTRY)*2);　//要减去两个LIST_ENTRY大小

注意红色部分，之前就是因为没有写这个，导致一直得不到正确结果，长点教训哦～
PS: 好像遍历这个链表得到的模块列表并不全面...