1. [الويكي](https://feex.it/wiki/)
2. [العمليات](https://feex.it/wiki/process/)
3. [عمليات Windows](https://feex.it/wiki/process/windows/)
4. rundll32.exe

# rundll32.exe

عملية Windows: Microsoft Corporation

مصطلحات البحث في الكتالوج rundll32, run a dll as an app

Windows, مكوّن نظام

تشغيل ملف DLL كتطبيق (Run a DLL as an App). بيحمل دالة مصدرة من ملف DLL. سطر الأوامر هو اللي بيحدد بيعمل إيه، مش اسم الملف.

## اللي محتاج تعرفه

ملف exe ده مجرد مشغل. ملف DLL اللي في سطر الأوامر هو البرنامج الحقيقي.

rundll32.exe موجود عشان ينادي دالة مصدرة معينة في DLL. أدوات Control Panel وبعض الطابعات لسه بتستخدمه. البرمجيات الخبيثة بتعشق الاسم الموثوق ده. افتح سطر الأوامر دايماً.

- **آمن؟**: اتأكد من مسار الملف اللي شغال، وتوقيعه، وجهة النشر بتاعته. مجرد اسم الملف لوحده ما يثبتش إنه آمن.

  **هل البرمجيات الخبيثة تقدر تستخدمه؟**: اتأكد من مسار الملف اللي شغال، وتوقيعه، وجهة النشر بتاعته. مجرد اسم الملف لوحده ما يثبتش إنه آمن.

  **هل لازم أقفله؟**: لأ. نظام Windows محتاج الـ host ده

Feex بتقولك

عمري ما بجاوب على سؤال "هل rundll32 آمن" من مجرد اسم الملف. بقرا المعاملات بتاعته. ملف rundll32 في System32 بيشغل DLL في Temp هو ده الحكاية، مش ملف الـ host نفسه.

## هو إيه rundll32.exe؟

rundll32.exe هو أداة Windows الموثقة اللي بتحمل ملف DLL وتنادي دالة مصدرة جواه. الصيغة بتكون rundll32 DLL,EntryPoint.

## بيعمل إيه؟

ملوش تقريباً أي وظيفة مستقلة تخصه. إعدادات الشاشة، واجهات الطابعات القديمة، وبعض أدوات Microsoft لسه بتبدأ بالشكل ده. وجود سطر أوامر فاضي حاجة مش طبيعية وتستاهل تبص عليها.

## ليه شغال؟

حاجة استدعت نقطة إدخال DLL بدل ما تشغل ملف exe. المهام المجدولة وبقايا الاختصارات حاجات شائعة جداً. والنسخة اللي شغالة من SysWOW64 عشان DLL 32-بت لسه تبع نظام Windows عادي.

## فحص النسخة قيد التشغيل

في Windows PowerShell، يسرد هذا الاستعلام للقراءة فقط معرفات العمليات المطابقة، وأوقات الإنشاء، ومسارات الملفات التنفيذية على هذا الكمبيوتر.

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'rundll32.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

لا يوجد نتيجة أو مسار غير قابل للوصول يعتبر غير حاسم. قد تقيد العمليات المحمية الوصول، ويمكن إعادة استخدام معرفات العمليات. احتفظ بالمسارات الشخصية محلية.

استخدم [دليل هوية الملف](https://feex.it/wiki/l/arz/software/system/verify-executable-path-signature/) لمقارنة التوقيعات وبيانات التعريف الخاصة بالمنتج. اسم الملف وحده لا يمكن أن يثبت الأمان.

## هل هو آمن؟

بيعتمد على ملف الـ DLL

الـ host في System32 سليم وقانوني. الأمان بيعتمد على مسار ملف DLL والناشر بتاعه. الصفحات اللي بتبص على اسم الملف بس وتقول "rundll32 ده فيروس" بتسيب الجزء الوحيد المهم.

قارن الموقع المسجل بالملف الفعلي. مجلد مألوف وحده لا يثبت الهوية.

`C:\Windows\System32\rundll32.exe`

- مسار الـ host المتوقع: System32 أو SysWOW64
- اقرا سطر الأوامر كل مرة
- وجود rundll32.exe في فولدر مستخدم مش هو الـ host بتاع Windows الأصلي

## هل ينفع أقفله؟

بيوقف استدعاء DLL ده

إنهاء العملية بيقفل الـ applet دي أو الـ payload. لو سطر الأوامر كان بيشاور على DLL مؤقت، فدي اللحظة المناسبة لفحص الـ persistence.

## هل ينفع أفتحه وأمسحه؟

لأ بالنسبة للمضيف بتاع Windows

ما تمسحش System32\rundll32.exe. احذف الاختصار أو المهمة اللي بتستدعي DLL خبيث.

## هل المفروض يشتغل مع بداية تشغيل Windows؟

اختصار بدء التشغيل اللي بيستدعي rundll32 المفروض يعرض مسار DLL كامل. وجود اسم فاضي أو مجرد أرقام بيكون علامة خطر.

## قياس استخدام الموارد

| وحدة المعالجة المركزية والذاكرة | قارن عدة ملاحظات لنفس معرف العملية وحمل العمل. هذه الإدخال ليس له خط أساس عالمي مقاس بشكل مستقل.      |
| ------------------------------- | ----------------------------------------------------------------------------------------------------- |
| القرص والشبكة                   | نسب النشاط إلى العملية الفعلية والمهمة الحالية؛ اسم الملف وحده لا يحدد الوجهات المتوقعة أو حجم النقل. |

## معلومات الملف

| اسم الملف التنفيذي  | rundll32.exe                                        |
| ------------------- | --------------------------------------------------- |
| مسار التثبيت المسجل | C:\Windows\System32\rundll32.exe                    |
| جهة النشر           | Microsoft Corporation                               |
| فحص التوقيع         | افحص الملف الفعلي؛ هذا الإدخال لا يصدق هوية شهادته. |

## المشاكل الشائعة

### rundll32 مع كل تسجيل دخول

افتح فولدر Startup وجدول المهام Task Scheduler. المضيف مش هو اللي شغال تلقائي، المعاملات (arguments) هي اللي شغالة.

### الناس بتمسح rundll32 عشان "توقف الفيروسات"

ساعتها Windows مش هيقدر يشغل كذا applet. العدوى كانت في الـ DLL أصلاً.

## استكشاف الأخطاء وإصلاحها

شخّص المشكلة الأول قبل ما تعمل أي تغيير يضر النظام.

### انسخ سطر الأوامر بالكامل

تفاصيل Task Manager أو Process Explorer. ابحث عن مسار الـ DLL ده، مش عن كلمة rundll32.

### تأكد من مسار المضيف

System32 أو SysWOW64 بس. أي rundll32.exe تاني بيكون برنامج مختلف.

## التفاصيل التقنية

التفاصيل التقنية

| اسم الصورة (Image name) | rundll32.exe         |
| ----------------------- | -------------------- |
| الدور                   | مضيف لنقطة إدخال DLL |

## التحقق من هوية ملف شغال

اسم الملف وحده لا يمكن أن يثبت الأمان. تحقق من المسار الفعلي والتوقيع وهوية المنتج.

## ذات صلة

العناصر دي مرتبطة بالمقالة دي. النوع موضح على كل رابط.

[dllhost.exe: عملية Windows](https://feex.it/wiki/l/arz/process/dllhost.exe/)[إزاي تقرا Task Manager: دليل](https://feex.it/wiki/l/arz/software/system/how-to-read-task-manager/)[تحقق من مسار الملف التنفيذي والتوقيع الرقمي: دليل](https://feex.it/wiki/l/arz/software/system/verify-executable-path-signature/)[عمليات Windows: الفئة](https://feex.it/wiki/process/windows/)

## المصادر والتحقق

تاريخ المصدر المسجل: أغسطس 2026. التاريخ ده مش إثبات لتحقق مستقل. [إزاي بنعمل أبحاثنا](https://feex.it/wiki/research/).

- [Microsoft Learn: rundll32 ](https://learn.microsoft.com/windows-server/administration/windows-commands/rundll32)· الاستخدام الرسمي للمضيف
- [دعم Microsoft: Windows ](https://support.microsoft.com/windows)· تسمية الدعم العلنية
- [خريطة عمليات Foxhole ](https://foxhole.feex.it/)· عينات طرف أول على أجهزة كمبيوتر ويندوز. مش مقياس أداء معملي.
- [Microsoft Sysinternals: أداة Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· بتشرح إزاي تفحص التواقيع الرقمية للملفات. المرجع ده مش إثبات لهوية أو أمان ملف معين شغال حالياً.
- [Microsoft: Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· طريقة استعلام العمليات المحلية للقراءة فقط.
- [خصائص Microsoft: Win32_Process ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· توثق معرفات العمليات، ومسارات الملفات التنفيذية، وتواريخ الإنشاء، وإعادة استخدام معرف العملية الأب.

## هل المقالة دي كانت مفيدة؟

مجرد نعم أو لأ كفاية. اختار سبب لو تحب، أو اكتب ملاحظة سريعة.

حقائق سريعة

نبذة تعريفية سريعة عن الصفحة دي. المواصفات، والمصادر، والتفاصيل الكاملة موجودة في المقالة.

- **النوع**: عملية Windows

  **جهة النشر**: Microsoft Corporation

  **ملف تنفيذي**: rundll32.exe

  **المسار المعتاد**: C:\Windows\System32\rundll32.exe

  **تسجيل السياق**: إدخال مرجع Feex Wiki

حالة المصدر المسجل: تمت مراجعته بواسطة Feex: تاريخ المصدر المسجل: أغسطس 2026. التاريخ ده مش إثبات لتحقق مستقل.

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/arz/process/rundll32.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)