rundll32.exe

Windows 进程Microsoft Corporation

目录搜索词 rundll32, run a dll as an app

Windows系统组件

Run a DLL as an App。它从 DLL 加载导出的函数。命令行（而非文件名）说明了它正在执行的操作。

您需要了解的内容

该 exe 是一个启动器。命令行上的 DLL 才是真正的程序。

rundll32.exe 的存在是为了调用 DLL 中的具名导出项。控制面板小程序和某些打印机仍在使用它。恶意软件中意这个受信任的名称。务必查看命令行。

安全吗？: 请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
恶意软件可以使用它吗？: 请检查正在运行的文件的路径、签名和发布者。仅凭名称无法确定安全性。
我应该删除它吗？: 否。Windows 需要该宿主

Feex 表示

我绝不会仅凭文件名回答“rundll32 是否安全”。我会阅读参数。System32 的 rundll32 启动 Temp DLL 才是关键所在，而不是宿主本身。

什么是 rundll32.exe？

rundll32.exe 是记录在案的 Windows 实用工具，用于加载 DLL 并调用导出项。其语法为 rundll32 DLL,EntryPoint。

它的作用是什么？

它几乎没有自己的任务。显示设置、较旧的打印机 UI 和某些 Microsoft 小程序仍以这种方式启动。空白的命令行是不寻常的，值得调查一番。

为什么它在运行？

有程序调用了 DLL 入口点而不是 exe。计划任务和快捷方式残留很常见。从 SysWOW64 运行以用于 32 位 DLL 的副本仍属于 Windows。

检查正在运行的实例

在 Windows PowerShell 中，此只读查询会列出此 PC 上匹配的进程 ID、创建时间和可执行文件路径。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'rundll32.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

无结果或路径不可访问是不可判断的。受保护的进程可能会限制访问，并且进程 ID 会被重用。请将个人路径保留在本地。

使用文件身份指南来比较签名和产品元数据。仅文件名无法确定安全性。

它安全吗？

取决于 DLL

System32 中的宿主是合法的。安全性取决于 DLL 路径和发布者。仅根据文件名声称“rundll32 是病毒”的页面忽略了唯一重要的部分。

将记录的位置与实际文件进行比较。熟悉的文件夹本身并不能确定身份。

C:\Windows\System32\rundll32.exe

预期的宿主路径: System32 或 SysWOW64
每次都要阅读命令行
用户文件夹中的 rundll32.exe 不是 Windows 宿主

我可以结束它吗？

停止该 DLL 调用

结束该进程会关闭该小程序或有效载荷。如果命令行指向临时目录中的 DLL，则是检查持久化的时机。

我可以删除它吗？

对于 Windows 宿主为否

请勿删除 System32\rundll32.exe。移除调用不良 DLL 的快捷方式或任务。

它应该随 Windows 一起启动吗？

调用 rundll32 的“启动”快捷方式应显示完整的 DLL 路径。空名称或数字名称属于危险信号。

测量资源使用情况

测量当前进程，而不是假设一个通用的基线
CPU 和内存	比较同一 PID 和工作负载的几次观察结果。此条目没有独立测量的通用基线。
磁盘和网络	将活动归因于实际进程和当前任务；仅文件名本身并不能确定预期的目标或传输量。

文件信息

rundll32.exe 文件信息
可执行文件名称	rundll32.exe
记录的安装路径	C:\Windows\System32\rundll32.exe
发布者	Microsoft Corporation
签名检查	检查实际文件；此条目不保证其证书身份。

常见问题

每次登录时运行 rundll32

打开“启动”文件夹和任务计划程序。宿主不是自动运行项。参数才是。

人们为了“阻止病毒”而删除 rundll32

随后 Windows 将无法启动若干小程序。受感染的是 DLL。

故障排除

在进行任何破坏性更改之前先进行诊断。

复制完整的命令行

任务管理器详细信息或 Process Explorer。搜索该 DLL 路径，而不是 rundll32 这个词。

确认宿主路径

仅限 System32 或 SysWOW64。任何其他 rundll32.exe 都是另一个程序。

技术细节

rundll32.exe 技术详细信息
映像名称	rundll32.exe
角色	DLL 入口点宿主

检查运行中文件的身份标识

仅文件名无法确定安全性。请验证实际路径、签名和产品身份。

来源与验证

记录的来源标签：August 2026。此标签并不代表已完成独立验证。我们的研究方式.

Microsoft Learn: rundll32 · 官方宿主用法
Microsoft 支持：Windows · 公开支持命名
Foxhole 进程图谱 · Windows PC 上的第一方采集样本。非实验室基准测试。
Microsoft Sysinternals: Sigcheck · 说明如何检查文件签名。此参考资料并不代表能确定特定运行中文件的身份或安全性。
Microsoft: Get-CimInstance · 只读本地进程查询方法。
Microsoft: Win32_Process 属性 · 记录进程 ID、可执行文件路径、创建日期和父 ID 重用。

这篇文章有用吗？

回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。