1、動態鏈接庫函數啟動器——Rundll32無論是Rundll32.exe或Rundll.exe，獨立運行都是毫無作用的，要在程序后面指定加載DLL文件。
2、在Windows的任務管理器中，我們只能看到rundll32.exe進程，而其實質是調用的DLL。
3、我們可以利用進程管理器等軟件來查看它具體運行了哪些DLL文件。
(資料圖片)
4、有些木馬是利用Rundll32.exe加載DLL形式運行的，但大多數情況下Rundll32.exe都是加載系統的DLL文件，不用太擔心。
5、另外要提起的是，有些病毒木馬利用名字與系統常見進程相似或相同特點，瞞騙用戶。
6、所以，要確定所運行的Rundll32.exe是在%systemroot%system32目錄下的，注意文件名稱也沒有變化。
7、運行Rundll32.exe程序，指定它加載shell32.dll文件，而逗號后面的則是這個DLL的參數。
8、了解了其原理，下面就可以自己挖掘出很多平時罕為人知的參數了。
9、第一步：運行eXeScope軟件，打開一個某個DLL文件，例如shell32.dll。
10、第二步：選擇“導出→SHELL32.DLL”，在右邊窗口就可以看到此DLL文件的參數了。
11、第三步：這些參數的作用一般可以從字面上得知，所以不用專業知識。
12、要注意的是，參數是區分大小寫的，在運行時一定要正確輸入，否則會出錯。
13、現在隨便找一個參數，例如RestartDialog，從字面上理解應該是重啟對話框。
14、組合成一個命令，就是Rundll32.exe shell32.dll，RestartDialog ，運行后可以看見平時熟悉的Windows重啟對話框。
本文到此分享完畢，希望對大家有所幫助。
