Detaillierte Beschreibung der Funktion "Datenausführungsverhinderung" in Windows XP Service Pack 2, Windows XP Tablet PC Edition 2005 und Windows Server 2003

Dieser Artikel beschreibt die Funktion "Datenausführungsverhinderung" in Windows XP SP2 sowie in Microsoft Windows Server 2003 Service Pack 1 (SP1) und behandelt die folgenden Themen:

• Durch Hardware erzwungene Datenausführungsverhinderung
• Durch Software erzwungene Datenausführungsverhinderung
• Vorteile
• Systemweite Konfiguration der Datenausführungsverhinderung
• Konfiguration der Datenausführungsverhinderung auf Anwendungsbasis

Durch Hardware erzwungene Datenausführungsverhinderung

Die durch Hardware erzwungene Datenausführungsverhinderung kennzeichnet alle Speicherbereiche eines Prozesses als nicht ausführbar, es sei denn, der Speicherbereich enthält explizit ausführbaren Code. Bei bestimmten Angriffen wird versucht, Code aus nicht ausführbaren Speicherbereichen einzufügen und auszuführen. Die Datenausführungsverhinderung hilft beim Verhindern dieser Angriffe, indem diese abgefangen werden und eine Ausnahme ausgelöst wird.

Bei der durch Hardware erzwungenen Datenausführungsverhinderung werden Speicherbereiche mit einem Attribut gekennzeichnet, das angibt, dass aus diesem Speicherbereich kein Code ausgeführt werden sollte. Die Datenausführungsverhinderung gilt pro virtueller Speicherseite und ändert normalerweise ein Bit im Seitentabelleneintrag (Page Table Entry, PTE), um die Speicherseite zu kennzeichnen.

Die eigentliche Hardwareimplementierung der Datenausführungsverhinderung und die Kennzeichnung der virtuellen Speicherseite unterscheiden sich je nach Prozessorarchitektur. Prozessoren, die durch Hardware erzwungene Datenausführungsverhinderung unterstützen, können jedoch eine Ausnahme auslösen, wenn Code von einer mit dem entsprechenden Attributsatz gekennzeichneten Seite ausgeführt wird.

Sowohl AMD (Advanced Micro Devices) als auch Intel haben Windows-kompatible Architekturen definiert und ausgeliefert, die mit der Datenausführungsverhinderung kompatibel sind.

Ab Windows XP SP 2 verwendet die 32-Bit-Version von Windows eines der folgenden Features:

• Die von AMD definierte nicht ausführbare Prozessorfunktion (NX = No eXecute) für den Seitenschutz.
• Die von Intel definierte Execute Disable Bit-Funktion (XD).

Um diese Prozessorfunktionen zu verwenden, muss der Prozessor im PAE-Modus (Physical Address Extension, Physikalische Adresserweiterung) ausgeführt werden. Windows aktiviert den PAE-Modus jedoch automatisch zur Unterstützung der Datenausführungsverhinderung. Benutzer müssen PAE nicht separat mithilfe des Startparameters /PAE aktivieren.

Hinweis: Da 64-Bit-Kernel Unterstützung für Address Windowing Extensions (AWE) bieten, gibt es in den 64-Bit-Versionen von Windows kein gesondertes PAE-Kernel.
Weitere Informationen zum PAE-Modus und zu Address Windowing Extensions (AWE) in Windows Server 2003 finden Sie im folgenden Artikel der Microsoft Knowledge Base:

Durch Software erzwungene Datenausführungsverhinderung

In Windows XP SP2 wurde ein zusätzlicher Satz von DEP (Datenausführungsverhinderung)-Sicherheitsprüfungen hinzugefügt. Diese Prüfungen werden "durch Software erzwungene Datenausführungsverhinderung" genannt und sollen verhindern, dass sich Code mit böswilligem Inhalt Mechanismen der Ausnahmebehandlung in Windows zunutze macht. Die durch Software erzwungene Datenausführungsverhinderung kann auf jedem Prozessor ausgeführt werden, der Windows XP SP2 ausführen kann. Standardmäßig schützt die durch Software erzwungene Datenausführungsverhinderung nur begrenzte Systembinärdateien, unabhängig von den durch Hardware erzwungenen DEP-Funktionen des Prozessors.

Vorteile

Der Hauptvorteil der Datenausführungsverhinderung besteht darin, dass sie zum Verhindern der Codeausführung über Datenseiten beiträgt, wie z. B. den Standardheap, verschiedene Stapel und Speicherpools. Normalerweise wird kein Code aus dem Standardheap und -stapel ausgeführt. Die durch Hardware erzwungene Datenausführungsverhinderung erkennt von diesen Orten ausgeführten Code und löst bei der Ausführung eine Ausnahme aus. Wenn es sich um eine nicht behandelte Ausnahme handelt, wird der Prozess beendet. Die Ausführung von Code aus geschütztem Speicher im Kernelmodus führt zu einer Fehlerüberprüfung.

Die Datenausführungsverhinderung kann dazu beitragen, bestimmte Formen der Ausnutzung von Sicherheitslücken zu verhindern. Insbesondere kann die Datenausführungsverhinderung Exploits verhindern, bei denen ein Virus oder ein anderer Angriff zusätzlichen Code in einen Prozess einfügt und dann diesen eingefügten Code auszuführen versucht. Auf einem System mit Datenausführungsverhinderung würde die Ausführung des eingefügten Codes zu einer Ausnahme führen. Die durch Software erzwungene Datenausführungsverhinderung kann dazu beitragen, Programme zu blockieren, die Ausnahmebehandlungsmechanismen in Windows ausnutzen.

Systemweite Konfiguration der Datenausführungsverhinderung

Die Konfiguration der Datenausführungsverhinderung für das System wird über Optionen in der Datei "Boot.ini" gesteuert. Wenn Sie als Administrator angemeldet sind, können Sie die Einstellungen für die Datenausführungsverhinderung leicht mithilfe des Dialogfensters System in der Systemsteuerung konfigurieren.

Windows unterstützt vier systemweite Konfigurationen für durch Hardware und Software erzwungene Datenausführungsverhinderung.Die durch Hardware erzwungene Datenausführungsverhinderung und die durch Software erzwungene Datenausführungsverhinderung werden auf die gleiche Weise konfiguriert. Wenn die systemweite Richtlinie für die Datenausführungsverhinderung auf Opt In festgelegt ist, sind die gleichen Windows-Kernbinärdateien und Anwendungen sowohl durch die durch Hardware erzwungene Datenausführungsverhinderung als auch durch die durch Software erzwungene Datenausführungsverhinderung geschützt.

Wenn das System die durch Hardware erzwungene Datenausführungsverhinderung nicht verwenden kann, sind die Windows-Kernbinärdateien und Anwendungen nur durch die durch Software erzwungene Datenausführungsverhinderung geschützt.

Folgende Einstellungen gelten für Boot.ini:Hinweis:Richtlinienstufe ist definiert als AlwaysOn, AlwaysOff, OptIn oder OptOut.

Die Einstellung /noexecute in der Datei Boot.ini wird, sofern vorhanden, beim Installieren von Windows XP SP2 nicht geändert. Die Einstellungen werden auch beim Verschieben eines Windows-Betriebssystemabbilds zwischen Computern mit und ohne Unterstützung für durch Hardware erzwungene Datenausführungsverhinderung nicht geändert.

Während der Installation von Windows XP SP2 und Windows Server 2003 SP1 oder neueren Versionen ist die Richtlinienstufe "OptIn" standardmäßig aktiviert, wenn nicht in einer unbeaufsichtigten Installation eine andere Richtlinienstufe angegeben ist. Wenn die Einstellung /noexecute=Richtlinienstufe nicht im Starteintrag für eine Version von Windows mit Unterstützung für die Datenausführungsverhinderung vorhanden ist, entspricht das Verhalten dem Verhalten beim Einschluss der Option /noexecute=OptIn.

Wenn Sie als Administrator angemeldet sind, können Sie die Datenausführungsverhinderung zwischen den Richtlinien OptIn und OptOut manuell auf der Registerkarte Datenausführungsverhinderung im Dialogfeld Systemeigenschaften konfigurieren. Im folgenden Verfahren wird die manuelle Konfiguration der Datenausführungsverhinderung auf dem Computer beschrieben:

1. Klicken Sie auf Start, klicken Sie auf Ausführen, geben Sie sysdm.cpl im Feld Öffnen ein, und klicken Sie dann auf OK.
2. Klicken Sie auf der Registerkarte Erweitert unter Systemleistung auf Einstellungen.
3. Klicken Sie auf die Registerkarte Datenausführungsverhinderung, und wenden Sie eines der folgenden Verfahren an:
   • Klicken Sie auf Datenausführungsverhinderung nur für erforderliche Windows-Programme und -Dienste aktivieren, um die Richtlinie "OptIn" auszuwählen.
   • Klicken Sie auf Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten aktivieren, um die Richtlinie "OptOut" auszuwählen. Klicken Sie anschließend auf Hinzufügen, und fügen Sie die Anwendungen hinzu, für die die Datenausführungsverhinderung nicht verwendet werden soll.
4. Klicken Sie zweimal auf OK.

IT-Experten können die systemweite Konfiguration der Datenausführungsverhinderung mit einer Reihe von Methoden steuern. Die Datei "Boot.ini" kann direkt mit Skriptmechanismen oder mit dem in Windows XP SP2 enthaltenen Tool "Bootcfg.exe" geändert werden.

Gehen Sie folgendermaßen vor, um zur Konfiguration der Datenausführungsverhinderung mithilfe der Datei "Boot.ini" zur Richtlinie "AlwaysOn" zu wechseln.

1. Klicken Sie auf Start, klicken Sie mit der rechten Maustaste auf Arbeitsplatz, und klicken Sie auf Eigenschaften.
2. Klicken Sie in der Registerkarte Erweitert unter Starten und Wiederherstellen auf Einstellungen.
3. Klicken Sie unter Systemstart auf Bearbeiten. Die Datei "Boot.ini" wird in Microsoft Editor geöffnet.
4. Klicken Sie im Editor im Menü Bearbeiten auf Suchen.
5. Geben Sie in das Feld Suchen nach die Zeichenfolge /noexecute ein, und klicken Sie anschließend auf Weitersuchen.
6. Klicken Sie im Dialogfeld Suchen auf Abbrechen.
7. Ersetzen Sie Richtlinienstufe durch AlwaysOn.
   
   WARNUNG Achten Sie darauf, den Text exakt einzugeben. Die Option für die Datei Boot.ini sollte nun folgendermaßen lauten:
   /noexecute=AlwaysOn
8. Klicken Sie im Editor im Menü Datei auf Speichern.
9. Klicken Sie zweimal auf OK.
10. Starten Sie den Computer neu.

Für unbeaufsichtigte Installationen von Windows XP SP2 können Sie mithilfe der Datei "Unattend.txt" eine bestimmte Konfiguration der Datenausführungsverhinderung im Voraus ausfüllen. Mit dem Eintrag "OSLoadOptionsVar" im Abschnitt [Data] der Datei "Unattend.txt" können Sie eine systemweite Konfiguration der Datenausführungsverhinderung angeben.

Konfiguration der Datenausführungsverhinderung auf Anwendungsbasis

Aus Gründen der Anwendungskompatibilität kann die Datenausführungsverhinderung, wenn sie auf die Richtlinienstufe "OptOut" festgelegt ist, für einzelne 32-Bit-Anwendungen selektiv deaktiviert werden. Verwenden Sie hierzu die Registerkarte Datenausführungsverhinderung im Dialogfeld Eigenschaften von System, um die Datenausführungsverhinderung selektiv für eine Anwendung zu deaktivieren. Für IT-Experten ist in Windows XP Service Pack 2 eine neue Anwendungskompatibilitätskorrektur namens "DisableNX" enthalten. Die Anwendungskompatibilitätskorrektur DisableNX deaktiviert die Datenausführungsverhinderung für das Programm, auf das sie angewendet wird.

Die Anwendungskompatibilitätskorrektur DisableNX kann mithilfe des Application Compatibility Toolkit auf eine Anwendung angewendet werden. Weitere Informationen zur Windows-Anwendungskompatibilität finden Sie im Artikel zur Windows-Anwendungskompatibilität auf der folgenden Website von Microsoft:

Weitere Informationen finden Sie im folgenden Artikel der Microsoft Knowledge Base: