由于输入表中只包含 dll 名而没有它的路径名，因此加载程序必须在磁盘上搜索 dll 文件。首先会尝试从当前程序所在的目录加载 dll，如果没找到，则在windows 系统目录中查找，最后是在环境变量中列出的各个目录下查找。利用这个特点，先伪造一个系统同名的 dll，提供同样的输出表，每个输出函数转向真正的系统 dll。程序调用系统 dll 时会先调用当前目录下伪造的 dll，完成相关功能后，再跳到系统dll同名函数里执行。这个过程用个形象的词来描述就是系统 dll 被劫持（hijack）了。