原文发表于百度空间，2008-7-26
==========================================================================
继续研究PEB，这时候才发现之前写《从PEB获取内存中模块列表》一文时出现的错误．
下面是一个结构：
typedef struct _LDR_MODULE { LIST_ENTRY InLoadOrderModuleList; LIST_ENTRY InMemoryOrderModuleList; LIST_ENTRY InInitializationOrderModuleList; void* BaseAddress; void* EntryPoint; ULONG SizeOfImage; UNICODE_STRING FullDllName; UNICODE_STRING BaseDllName; ULONG Flags; SHORT LoadCount; SHORT TlsIndex; HANDLE SectionHandle; ULONG CheckSum; ULONG TimeDateStamp; } LDR_MODULE, *PLDR_MODULE;
从这个结构可以知道，如果按InLoadOrderModuleList遍历，那么InLoadOrderModuleList这个结构的地址就是LDR_MODULE结构的地址，但是如果按InMemoryOrderModuleList这个链表来遍历时，得到的下一个链表地址必须减去前面InLoadOrderModuleList这个结构所占的空间，得到的地址才是LDR_MODULE的地址，相应的，如果用第三个链表遍历的话，就要减去两个LIST_ENTRY的大小了．《从PEB获取内存中模块列表》一文中的代码和结果已修正．
正确写法如下：
pListEntry=(LIST_ENTRY*)(PUCHAR)&(pPEBLDR->InInitializationOrderModuleList); //如果使用这个链表
pLdrMod=(LDR_MODULE*)( (char*) pListEntry-sizeof(LIST_ENTRY)*2); //要减去两个LIST_ENTRY大小
注意红色部分，之前就是因为没有写这个，导致一直得不到正确结果，长点教训哦～
PS: 好像遍历这个链表得到的模块列表并不全面...