Kaen's Ritus

* Rundll 과 Rundll32 비교

* Rundll 커맨드 라인

1. Rundll 이나 Rundll32은 주어진 DLL 파일명을 LoadLibrary() 함수가 사용하는 표준위치에서 찾는다. 정확을 기하기 위해서는 DLL의 풀-패스를 기술하고, 유효한 파일명이 되기 위해서는 긴 파일명 대신 짧은 파일 명을 기술한다. 즉 "C:\Program Files" 폴더는 반드시 짧은 폴더 명으로 변환되어야 한다.
2. <DLL 명>에는 스페이스, 콤마, 따옴표등이 포함될 수없다. 이것은 Rundll 커맨드 분석기의 한계이다.
3. 위 커맨드 라인에서, <DLL 명>과 <엔트리 포인트>사이의 컴마(,)는 매우 중요하다. 만약 컴마가 없다면, Rundll이나 Rundll32는 어떤 오류 메시지 없이 실패한다. 또한 <DLL 명>, 컴마와 <엔트리 포인트> 함수 사이에는 스페이스도 없어야만 한다.

* Rundll 동작 방법

1. 커맨드 라인을 분석한다.
2. LoadLibrary()로 명시된 DLL을 로드한다.
3. GetProcAddress()로 <엔트리 포인트> 함수의 어드레스를 얻는다.
4. <옵션 아규먼트>를 <엔트리 포인트> 함수로 패스하면서 콜한다.
5. <엔트리 포인트> 함수 리턴시 Rundll.exe는 DLL을 언로드하고 종료한다.

* DLL 작성법

1. "EntryPoint"는 반드시 실제 엔트리 포인트 함수명 이어야 한다. Rundll32의 엔트리 포인트는 프로세스와 쓰레드 어태치/디태치 통보(notifications)를 처리하는 32비트 DLL의 DllEntryPoint함수와 완전히 별개이다.
2. Rundll32의 엔트리 포인트 함수는 반드시 _stdcall(CALLBACK은 디폴트로 _stdcall 속성을 사용한다)을 정의해야만 한다. 만약 _stdcall이 없으면, 함수는 디폴트로 _cdecl를 사용하며, 이때 Rundll32은 함수 호출 후, 비정상적으로 종료한다.
3. 반드시 함수 선언에 _stdcall 를 사용해야 하며, 비주얼 C++ 컴파일러는 DLL이 C로 쓰여진 경우는 _EntryPoint@16으로, C++로 쓰여진 경우는 함수명을 장식한다. 그러므로 장식돤 이름을 사용하지 않으려면, .DEF 파일을 사용하고, 이름으로 엔트리 포인트 함수를 익스포트해야 한다.

* 윈도우 95와 윈도우 NT간의 차이점

Rundll과 Rundll32 비교

Rundll 명령줄

   RUNDLL.EXE <dllname>,<entrypoint> <optional arguments>
				

   RUNDLL.EXE SETUPX.DLL,InstallHinfSection 132 C:\WINDOWS\INF\SHELL.INF
				

1. Rundll이나 Rundll32는 표준 위치에서 주어진 DLL 파일 이름을 검색합니다(자세한 내용은 LoadLibrary() 함수에 대한 문서 참조). DLL을 제대로 검색하기 위해 DLL의 전체 경로를 제공하는 것이 좋습니다. 최상의 결과를 얻으려면 잘못된 문자가 나타나지 않도록 긴 파일 이름 대신 짧은 파일 이름을 사용합니다. 특히 "C:\Program Files" 폴더의 DLL이 짧은 이름으로 변환되어야 합니다.
2. <dllname>에는 공백, 쉼표 또는 따옴표가 포함되지 않을 수 있습니다. 이것은 Rundll 명령줄 파서의 제한 사항입니다.
3. 위의 명령줄에서 <dllname>과 <entrypont> 함수 이름 사이의 쉼표(,)는 매우 중요합니다. 쉼표 구분 기호가 없으면 Rundll이나 Rundll32는 오류를 표시하지 않고 실패합니다. 또한, <dllname>, 쉼표 및 <entrypoint> 함수 사이에는 공백이 있어서는 안 됩니다.

Rundll의 작동 방식

1. 명령줄 구문을 분석합니다.
2. LoadLibrary()를 통해 지정된 DLL을 로드합니다.
3. GetProcAddress()를 통해 <entrypoint> 함수의 주소를 얻습니다.
4. <entrypoint> 함수를 호출하고 명령줄 끝 정보인 <optional arguments>를 전달합니다.
5. <entrypoint> 함수가 결과를 반환하면 Rundll.exe는 DLL을 언로드하고 종료됩니다.

DLL을 작성하는 방법

  void FAR PASCAL __loadds
  EntryPoint(HWND hwnd, HINSTANCE hinst, LPSTR lpszCmdLine, int nCmdShow);
				

  void CALLBACK
  EntryPoint(HWND hwnd, HINSTANCE hinst, LPSTR lpszCmdLine, int nCmdShow);
				

1. "EntryPoint"라는 이름을 작성한 진입점 함수의 실제 이름으로 바꿔야 합니다. Rundll32의 진입점은 프로세스와 스레드 연결/분리 알림을 처리하는 32비트 DLL의 DllEntryPoint 함수와는 전혀 관계가 없습니다.
2. Rundll32의 진입점 함수는 _stdcall 호출 규칙을 사용하여 정의되어야 합니다(콜백은 _stdcall 특성을 사용하도록 기본적으로 설정됨). _stdcall 특성이 없으면 함수는 _cdecl 호출 규칙을 기본적으로 사용하고 Rundll32는 함수를 호출한 후 비정상적으로 종료됩니다.
3. 위에서 설명한 대로 _stdcall 호출 규칙을 사용하여 함수를 선언해야 하므로 Visual C++ 컴파일러는 DLL이 C로 작성된 경우 이것을 _EntryPoint@16으로 내보내고 DLL이 C++로 작성된 경우 이름 장식을 더 사용합니다. 따라서 명령줄에서 Rundll이나 Rundll32에 대해 제대로 내보낸 이름을 사용하도록 해야 합니다. 장식된 이름을 사용하지 않으려면 .def 파일을 사용하고 이름에 따라 진입점 함수를 내보냅니다. Visual C++ 컴파일러를 사용하는 경우의 이름 장식에 대한 자세한 내용은 제품 설명서와 다음 문서를 참조하십시오.
   140485 INFO: 32비트 DLL에서 PASCAL 형식의 기호 내보내기

   hwnd - DLL이 만든 모든 창에 대해 소유자 창으로 사용되는
          창 핸들
   hinst - DLL의 인스턴스 핸들
   lpszCmdLine - DLL이 구문 분석하는 ASCIIZ 명령줄
   nCmdShow - DLL의 창이 표시되는 방법 설명
				

     RUNDLL.EXE SETUPX.DLL,InstallHinfSection 132 C:\WINDOWS\INF\SHELL.INF
				

   hwnd = (부모 창 핸들)
   hinst = SETUPX.DLL의 HINSTANCE
   lpszCmdLine = "132 C:\WINDOWS\INF\SHELL.INF"
   nCmdShow = (CreateProcess로 전달된 모든 nCmdShow)
				

Windows 95와 Windows NT의 차이점

   void CALLBACK
   EntryPointW(HWND hwnd, HINSTANCE hinst, LPWSTR lpszCmdLine,
               int nCmdShow);