C语言怎么获得进程的PE文件信息

要获取进程的PE文件信息，可以使用Windows的API函数和一些常用的数据结构。

首先需要使用OpenProcess函数打开目标进程，该函数会返回目标进程的句柄，用于后续的操作。然后再使用GetModuleInformation函数获取目标进程的所有模块信息，包括PE文件的基址、大小等信息。最后需要使用CloseHandle关闭进程句柄以释放资源。

以下是用C语言编写的示例代码，展示了如何获取一个进程的PE文件信息。

#include <stdio.h>
#include <windows.h>
#include <psapi.h>

int main(int argc, char* argv[])
{
    if (argc != 2) {
        printf("Usage: %s <process name>\n", argv[0]);
        return -1;
    }

    HANDLE hProcess = NULL;
    HMODULE hModule = NULL;
    MODULEINFO moduleInfo = { 0 };

    // 打开目标进程
    hProcess = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, GetCurrentProcessId());
    if (hProcess == NULL) {
        printf("Failed to open process! Error code: %d\n", GetLastError());
        return -1;
    }

    // 获取PE文件信息
    if (EnumProcessModules(hProcess, &hModule, sizeof(hModule), NULL)) {
        if (GetModuleInformation(hProcess, hModule, &moduleInfo, sizeof(moduleInfo))) {
            printf("PE file base address: 0x%p\n", moduleInfo.lpBaseOfDll);
            printf("PE file size: %d bytes\n", moduleInfo.SizeOfImage);
        }
        else {
            printf("Failed to get module information! Error code: %d\n", GetLastError());
        }
    }
    else {
        printf("Failed to enum process modules! Error code: %d\n", GetLastError());
    }

    // 关闭进程句柄
    CloseHandle(hProcess);

    return 0;
}

以上代码使用了GetCurrentProcessId函数获取当前进程的ID作为目标进程的ID，读者可以修改成其他进程的ID进行测试。

另外，也可以使用CreateToolhelp32Snapshot函数生成进程快照，然后使用Module32First和Module32Next函数枚举快照中的所有模块，获取每个模块的信息。以下是使用该方法获取PE文件信息的示例代码。

#include <stdio.h>
#include <windows.h>
#include <tlhelp32.h>

int main(int argc, char* argv[])
{
    if (argc != 2) {
        printf("Usage: %s <process name>\n", argv[0]);
        return -1;
    }

    HANDLE hSnapshot = NULL;
    MODULEENTRY32 moduleEntry = { 0 };

    // 生成进程快照
    hSnapshot = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, 0);
    if (hSnapshot == INVALID_HANDLE_VALUE) {
        printf("Failed to create snapshot! Error code: %d\n", GetLastError());
        return -1;
    }

    // 枚举所有模块
    if (Module32First(hSnapshot, &moduleEntry)) {
        do {
            // 查找目标进程的模块
            if (_strcmpi(moduleEntry.szModule, argv[1]) == 0) {
                printf("PE file base address: 0x%p\n", moduleEntry.modBaseAddr);
                printf("PE file size: %d bytes\n", moduleEntry.modBaseSize);
                break;
            }
        } while (Module32Next(hSnapshot, &moduleEntry));
    }

    // 关闭句柄
    CloseHandle(hSnapshot);

    return 0;
}

以上代码使用了strcmpi函数忽略大小写比较模块名和命令行参数是否匹配。读者可以根据实际需求进行修改。