8、动态分析与汇编语言基础：深入理解恶意软件

动态分析与汇编语言基础：深入理解恶意软件

1. 使用rundll32.exe分析DLL

在进行恶意软件的动态分析时，了解如何执行DLL至关重要。DLL需要一个进程来运行，在Windows系统中， rundll32.exe 可用于启动DLL并调用其导出的函数。其语法如下：

rundll32.exe <full path to dll>,<export function> <optional arguments>

参数说明：
| 参数 | 说明 |
| ---- | ---- |
| 完整DLL路径 | 指定DLL的完整路径，该路径不能包含空格或特殊字符。 |
| 导出函数 | DLL加载后将调用的函数。 |
| 可选参数 | 可选参数，若提供，调用导出函数时会将这些参数传递给它。 |
| 逗号 | 位于DLL完整路径和导出函数之间。导出函数是语法正确的必要条件。 |

1.1 rundll32.exe的工作原理

使用 rundll32.exe 运行DLL时，了解其工作原理可避免错误。当使用上述命令行参数启动 rundll32.exe 时，它会执行以下步骤：

graph TD;
    A[验证命令行参数] -->|语法错误| B[rundll32.exe终止];
    A -->