Rundll32.exe

Хост-процесс Windows (Rundll32) — компонент операционных систем семейства Microsoft Windows, запускающий программы, находящиеся в динамически подключаемых библиотеках. Находится по адресу %WINDIR%\System32\rundll32.exe. Программа поддерживает параметры filename (название .DLL-файла), function_name (имя экспортированной функции в файле) и function-arguments (различные аргументы для выполнения).

Библиотеки

Программная библиотека (DLL) служит в качестве программного модуля для предоставления функций другим программам, однако, не может непосредственно выполняться в обычном режиме. RUNDLL позволяет вызывать отдельные функции, такие, как например интерфейс, в командной строке из сценариев или в виде ссылки. Выполнение осуществляется в отдельном процессе, так вызовы RUNDLL могут использоваться другими программами, которые хотят защитить себя от ошибок при вызове DLL. Точно так же могут вызываться и функции программ в исполняемых файлах системы (.exe-файлы).

Примеры:

• RUNDLL32 SHELL32.DLL,Control_RunDLL hotplug.dll
  • Откроется функция Удалить или извлечь аппаратное устройство , например, подключённое к USB.
• RunDll32.EXE SHELL32.DLL,SHExitWindowsEx 2
RunDll32.EXE USER.EXE,ExitWindowsExec
  • Перезагрузка (перезагрузка системы) (в Windows XP программа Reboot управляется файлом shutdown.exe.)
• RunDll32.EXE URL.DLL,FileProtocolHandler "%1"
  • открывает файл под именем «%1» и связанное с ним приложение по умолчанию (автоматическое распознавание файла)

Панель управления

Файлы панели управления (CPL), которые обычно находятся в виртуальной папке панели управления, могут вызываться альтернативы методом, используя RUNDLL, вызванную с помощью командной строки вызовом Shell32.dll:

Код:

• RUNDLL32 SHELL32.DLL,Control_RunDLL filename.CPL,@n,t
  • filename.CPL имя CPL-файла панели управления.
  • n… апплет в файле CPL
  • t… Количество вкладок, когда апплет имеет их несколько.

Примеры:

• RUNDLL32 SHELL32.DLL,Control_RunDLL TIMEDATE.CPL,@0,1
  • открывает функции настройки часового пояса, даты / времени.
• RUNDLL32 shell32.dll,Control_RunDLL access.cpl,,4
  • Настройка мыши для пользователей с ослабленным зрением.

Использование

Этот метод может быть использован как в командной строке или при пакетной обработки данных различных скриптов, так и с помощью обычных ярлыков (LINK-файлов). Поскольку функции работают в контакте с операционной системой, рекомендуется соблюдать осторожность в определённых экспериментах и рекомендуется только достаточно опытным пользователям.

Типичные источники ошибок

Предполагается, что функция, вызываемая Rundll32.exe, имеет следующую сигнатуру:

void CALLBACK NameFuction(HWND hwnd, HINSTANCE hinst, LPSTR lpszCmdLine, int nCmdShow);

Этим, однако, нередко пренебрегают (подобные примеры на этой странице). Это часто приводит к повреждению стека и к непредсказуемому поведению, например, зацикливанию.

Безопасность

Угрозы безопасности могут происходить из-за использования rundll32 вирусами, шпионскими программами, использующими его как «тёзку» для своих программ-вредителей.

Прежде всего это позволяет RUNDLL скрыть фактического злодея: в сообщениях об ошибках и журналах (записях журнала) определяется в качестве причины имя файла EXE. Ею оказывается rundll32.exe, но при этом абсолютно безупречной — вредоносная программа, находящаяся в DLL, и её имя не упоминается во многих случаях. Вместо того, чтобы определить, какие DLL является нежелательным, обвиняется rundll32.exe.

Кроме того, в случае, если этот файл находится в ином местоположении, нежели %windir%\system32\rundll32.exe и запущен из этого другого местоположения — то он может являться вирусом и не иметь отношения к оригинальному файлу.

Ссылки

• What’s the guidance on when to use rundll32? Easy: Don’t use it
• What is rundll32.exe? Is rundll32.exe spyware or a virus?
• RUNDLL and RUNDLL32
• Rundll32 commands — Windows command line GUI access (неопр.).
• How to run Control Panel tools by typing a command
• C++ — System Dialogs
• The Geek. What is rundll32.exe And Why Is It Running? (англ.). HowToGeek.com (30 июля 2008). Дата обращения: 30 апреля 2011. Архивировано 13 мая 2012 года.