傳統後門易被「查連接埠、看進程」發現，攻擊者轉向 DLL 動態連結程式庫：將後門編譯為 DLL，透過 EXE 載體或 Rundll32.exe 載入，無獨立進程、不開連接埠，完美隱藏。本文從原理到清除全面剖析。

一、DLL 原理與後門特徵

DLL 本身無法獨立執行，必須被應用程式載入記憶體空間。Windows 機制禁止刪除正在執行的模組，故 DLL 後門極難移除。兩種常見實作：

1. 所有功能封裝於單一 DLL，透過 Rundll32.exe 自動載入（註冊表 Run 鍵值）。
2. 替換系統 DLL（如 comres.dll），攔截呼叫並轉發，特定觸發條件下啟動後門功能。

二、Rundll32.exe 機制詳解

Rundll32.exe 用於命令列呼叫 32 位元 DLL 匯出函數。原型：

Void CALLBACK FunctionName(HWND hwnd, HINSTANCE hinst, LPTSTR lpCmdLine, int nCmdShow);

命令列語法：Rundll32.exe DLLname,Functionname [Arguments]

系統中出現多個 Rundll32.exe 即代表載入多個 DLL。檢查自動啟動位置（Run、RunOnce、服務等）即可追溯載入的 DLL。

三、清除策略

1. 識別載入點：Autoruns、Process Explorer 檢視 Rundll32.exe 命令列參數，鎖定惡意 DLL 路徑。
2. 終止載入進程：結束對應的 Rundll32.exe 或載體 EXE。
3. 刪除自動啟動註冊表項：清除 Run/RunOnce/服務等啟動鍵值。
4. 安全模式刪除 DLL 檔案：進入安全模式（或使用解鎖工具）刪除實體檔案。
5. 修復系統檔案：若為替換系統 DLL，執行 sfc /scannow 或從備份還原。

四、防範建議

• 啟用軟體限制原則 / AppLocker，限制未簽署 DLL 載入。
• 監控 Rundll32.exe 異常命令列參數。
• 定期稽核自動啟動區域與系統關鍵 DLL 雜湊值。
• 部署具備行為分析的 EDR 方案，偵測無檔案、記憶體駐留攻擊。

DLL 後門雖隱蔽，但掌握載入機制、善用工具鏈，即可「快速上手」徹底清除，不再恐懼。