有一个好的方法，自己遍历一次看看结果。

谢谢2楼提醒，我写了一个小程序测试了一下：

main函数
{
       LoadLibrary("zlibwapi.dll");  //随便加载一个dll
       .........
       遍历循环链表
       .........
       LoadLibrary("10.dll");        //随便加载一个dll
}

发现遍历模块链表之前，动态加载的dll（本例中的zlibwapi.dll）在链表里面，静态链接的应该也在（我没真正试验过），但在遍历完链表之后，再加载的dll（本例中的10.dll）就不在链表里面了。当然这是我自己写的程序遍历，但系统是什么时候把这些信息写在PEB链表结构里面去的 呢？ 为了追查这个问题，我把遍历链表这部分代码注释掉，代码如下：

main函数
{
       LoadLibrary("zlibwapi.dll");  //随便加载一个dll
       __asm
       {
              int  3                             //加个int 3，让OD中断查看
       }
       LoadLibrary("10.dll");         //随便加载一个dll
       __asm
       {
              int  3                             //加个int 3，让OD中断查看
     }
}

然后用OD打开，在程序入口点时，Alt+E，看见里面只有本进程模块，ntdll.dll，kernel32.dll，



然后F9，第一个LoadLibrary后中断，Alt+E



此时系统为链表写入很多模块信息（红色部分）

再F9运行，LoadLibrary（"10.dll"）后中断，Alt+E



又写进去信息...（红色部分）

经过这测试，我的疑惑终于解开了 特意把过程写出来给大家看看~（大牛飘过...）
还得感谢提醒，虽然没直接给我解答，分还是给你了

注：PEB链表里面的模块其实就是Alt+E里面列出来的模块

上传的附件：

• 0.PNG （8.51kb，242次下载）
• 1.PNG （20.28kb，243次下载）
• 2.PNG （34.81kb，244次下载）

当然都有的啊

LuckyStar ...

我记得有3个链表的，内容不一样，你可以每个都试试。