Langouster 's Blog(虾 窝)

在ntdll里有一张表，叫作LdrpHashTable，这张hash表中保存了进程已经的模块列表，函数GetModuleHandle就是通过查找这张句返回模块句柄的。

这张hash表也指向LDR_DATA_TABLE_ENTRY，作为HashLinks字段：

typedef struct _LDR_DATA_TABLE_ENTRY
{    
 LIST_ENTRY      InLoadOrderLinks;
...