百科名片
Identify Loaded
Rundll32.exe是什么？顧名思意，"執(zhí)行32位的DLL文件"。它的作用是執(zhí)行DLL文件中的內(nèi)部函數(shù)，這樣在進(jìn)程當(dāng)中，只會(huì)有Rundll32.exe，而不會(huì)有DLL后門的進(jìn)程，這樣，就實(shí)現(xiàn)了進(jìn)程上的隱藏。介紹一下Rundll32.exe這個(gè)文件，功能就是以命令行的方式調(diào)用動(dòng)態(tài)鏈接程序庫。系統(tǒng)中還有一個(gè)Rundll.exe文件，他的意思是"執(zhí)行16位的DLL文件"， 其命令行下的使用方法為：Rundll32.exe DLLname,Functionname Arguments，DLLname為需要執(zhí)行的DLL文件名；Functionname為前邊需要執(zhí)行的DLL文件的具體引出函數(shù)；Arguments為引出函數(shù)的具體參數(shù)。
目錄
描述Rundll 的工作方式略談Rundll32.exe的作用Shell “命令列”rundll32相關(guān)病毒rundll32進(jìn)程信息
編輯本段描述
Rundll32 的作用及應(yīng)用
rundll32的正常位置：c:\windows\system32
如果不是這個(gè)位置，則肯定是病毒
Rundll32.exe是什么？顧名思義，“執(zhí)行32位的DLL文件”。它的作用是執(zhí)行DLL文件中的內(nèi)部函數(shù)，這樣在進(jìn)程當(dāng)中，只會(huì)有 Rundll32.exe，而不會(huì)有DLL后門的進(jìn)程，這樣，就實(shí)現(xiàn)了進(jìn)程上的隱藏。如果看到系統(tǒng)中有多個(gè)Rundll32.exe，不必驚慌，這證明用 Rundll32.exe啟動(dòng)了多少個(gè)的DLL文件。當(dāng)然，這些Rundll32.exe執(zhí)行的DLL文件是什么，我們都可以從系統(tǒng)自動(dòng)加載的地方找到。
現(xiàn)在，我來介紹一下Rundll32.exe這個(gè)文件，意思上邊已經(jīng)說過，功能就是以命令行的方式調(diào)用動(dòng)態(tài)鏈接程序庫。系統(tǒng)中還有一個(gè) Rundll.exe文件，他的意思是“執(zhí)行16位的DLL文件”，這里要注意一下。在來看看Rundll32.exe使用的函數(shù)原型：
Void CALLBACK FunctionName (
HWND hwnd,
HINSTANCE hinst,
LPTSTR lpCmdLine,
Int nCmdShow
);
其命令行下的使用方法為：Rundll32.exe DLLname,Functionname [Arguments]
DLLname為需要執(zhí)行的DLL文件名；Functionname為前邊需要執(zhí)行的DLL文件的具體引出函數(shù)；[Arguments]為引出函數(shù)的具體參數(shù)。
編輯本段Rundll 的工作方式
Rundll 執(zhí)行以下步驟：
1. 它分析命令行。
2. 它通過 LoadLibrary() 加載指定的 DLL。
3. 它通過 GetProcAddress() 獲取 <entrypoint> 函數(shù)的地址。
4. 它調(diào)用 <entrypoint> 函數(shù)，并傳遞作為 <optional arguments> 的命令行尾。
5. 當(dāng) <entrypoint> 函數(shù)返回時(shí)，Rundll.exe 將卸載 DLL 并退出。
編輯本段略談Rundll32.exe的作用
常用Windows9x的朋友一定對(duì)Rundll32.exe和Rundll.exe這兩個(gè)檔案不會(huì)陌生吧，不過,由于這兩個(gè)程式的功能原先只限于在微軟內(nèi)部使用，因而真正知道如何使用它們的朋友想必不多。那么好，如果你還不清楚的話，那么就讓我來告訴你吧。
首先，請(qǐng)你做個(gè)小實(shí)驗(yàn)（請(qǐng)事先保存好你正在執(zhí)行的程式的結(jié)果，否則...）：點(diǎn)擊“開始－程式－Ms－Dos方式”，進(jìn)入Dos視窗，然后鍵入
rundll32.exe user.exe,restartwindows，再按下回車鍵，這時(shí)你將看到，機(jī)器被重啟了！怎么樣，是不是很有趣？
當(dāng)然，Rundll的功能絕不僅僅是重啟你的機(jī)器。其實(shí)，Rundll者，顧名思義，執(zhí)行Dll也，它的功能就是以命令列的方式呼叫Windows的動(dòng)態(tài)鏈結(jié)庫，Rundll32.exe與Rundll.exe的區(qū)別就在于前者是呼叫32位的鏈結(jié)庫，而后者是運(yùn)用于16位的鏈結(jié)庫，它們的命令格式是：
RUNDLL.EXE ，，
這里要注意三點(diǎn)：1.Dll檔案名中不能含有空格，比如該檔案位于c:\ ProgramFiles\目錄，你要把這個(gè)路徑改成c:\Progra～1\；2.Dll檔案名與Dll入口點(diǎn)間的逗號(hào)不能少，否則程式將出錯(cuò)并且不會(huì)給出任何資訊！3.這是最重要的一點(diǎn)：Rundll不能用來呼叫含返回值參數(shù)的Dll，例如Win32API中的GetUserName(), GetTextFace()等。在Visual Basic中，提供了一條執(zhí)行外部程式的指令Shell,格式為：
編輯本段Shell “命令列”
如果能配合Rundll32.exe用好Shell指令，會(huì)使您的VB程式擁有用其他方法難以甚至無法實(shí)現(xiàn)的效果：仍以重啟為例，傳統(tǒng)的方法需要你在VB工程中先建立一個(gè)模組，然后寫入WinAPI的聲明，最后才能在程式中呼叫。而現(xiàn)在只需一句:
Shell “rundll32.exe user.exe,restartwindows”就搞定了！是不是方便多了？
編輯本段rundll32相關(guān)病毒
一般情況 出現(xiàn)該文件或者相類似的文件時(shí),大都是因?yàn)椴《驹?建議下載殺毒軟件查殺一下電腦安全：
rundll32一般不是病毒，它是系統(tǒng)必須的組件之一，不可以刪除，強(qiáng)烈建議你打開殺毒軟件的監(jiān)控，以便及時(shí)發(fā)現(xiàn)病毒
rundl132.exe才是病毒 是阿拉伯?dāng)?shù)字1而不是字母l
你直接在C:\WINDOWS\system32 下刪除
并在注冊(cè)表啟動(dòng)項(xiàng)里去除rundl132.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
===========
C:\\WINDOWS\\uninstall 這個(gè)目錄下的是威金變種了。。
用專殺清除！手動(dòng)難以清除其他被感染的可執(zhí)行文件（EXE等）
建議打開任務(wù)管理器，檢查RUNDLL32.exe進(jìn)程所屬的用戶名，如果是屬于系統(tǒng)，那中毒的機(jī)率就很小，如果顯示的是當(dāng)前用戶，哪情況就不妙了。
解決方案：
1.最新版殺毒軟件都可以查殺
2.一些修復(fù)工具，比如金山急救箱，360急救箱......(測(cè)試過，可以查殺該木馬病毒，并修復(fù)rundll32.exe文件)
可在任務(wù)管理器中先結(jié)束該進(jìn)程后，利用殺毒軟件徹底查殺，或進(jìn)而轉(zhuǎn)為安全模式查殺。
rundll32手工查殺方法
(1) 在WINDOWS目錄中查找run32.exe文件，如果發(fā)現(xiàn)則證明病毒存在，則將同目錄下的rundll32.exe文件刪除，將run32.exe文件改名為：rundll32.exe。
(2) 在WINDOWS目錄中查找regedit.exe.sys文件，如果找到則證明病毒存在，將同目錄下的regedit.exe文件刪除，將regedit.exe.sys文件改名為regedit.exe。
如果無法刪除這些文件，可以用啟動(dòng)盤進(jìn)入DOS模式下，將這些病毒文件刪除。然后，進(jìn)入注冊(cè)表編輯器，查看注冊(cè)表的HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Windows\CurrentVersion\Run項(xiàng)，看其中是否有上面提到的文件，如果有，則將這些鍵值刪除即可清除病毒注冊(cè)的鍵值；查看注冊(cè)表的HKEY_CLASSES_ROOT\Exefile\shell\open\command的鍵值，正確的“默認(rèn)”項(xiàng)的內(nèi)容為：“"%1"%*”，如果不是，則修改；查看注冊(cè)表的HKEY_CLASSES_ROOT\Txtfile\shell\open\command的鍵值，正確的“默認(rèn)”項(xiàng)的內(nèi)容為：“%SystemRoot%\system32\NOTEPAD.EXE %1”，如果不是，則修改。此時(shí)，病毒被清除。
