Αναγν. άρθρου: 875352 - Τελευταία αναθεώρηση: Τρίτη, 10 Οκτωβρίου 2006 - Αναθεώρηση: 14.1 Λεπτομερής περιγραφή της δυνατότητας "Αποτροπή εκτέλεσης δεδομένων" (Data Execution Prevention - DEP) στο Windows XP Service Pack 2, το Windows XP Tablet PC Edition 2005 και τον Windows Server 2003
Σε αυτήν τη σελίδαΠερίληψηΗ "Αποτροπή εκτέλεσης δεδομένων" (Data Execution Prevention - DEP) είναι ένα σύνολο τεχνολογιών υλικού και λογισμικού που πραγματοποιούν πρόσθετους ελέγχους στη μνήμη για να αποτρέψουν την εκτέλεση επιβλαβή κώδικα σε ένα σύστημα. Στο Microsoft Windows XP Service Pack 2 (SP2) και στο Microsoft Windows XP Tablet PC Edition 2005, η δυνατότητα DEP επιβάλλεται από το υλικό και το λογισμικό. Το κυριότερο πλεονέκτημα της δυνατότητας DEP είναι ότι βοηθά στην αποτροπή εκτέλεσης κώδικα από σελίδες δεδομένων. Τυπικά, ο κώδικας δεν εκτελείται από το προεπιλεγμένο heap και τη στοίβα. Η δυνατότητα DEP που επιβάλλεται από το υλικό ανιχνεύει κώδικα που εκτελείται από αυτές τις θέσεις και παρουσιάζει ένα μήνυμα εξαίρεσης κατά την εκτέλεση. Η δυνατότητα DEP που επιβάλλεται από το λογισμικό μπορεί να αποτρέψει τον επιβλαβή κώδικα να επωφεληθεί από τους μηχανισμούς χειρισμού εξαιρέσεων των Windows. ΕΙΣΑΓΩΓΗΑυτό το άρθρο
περιγράφει τη δυνατότητα DEP του Windows XP SP2 και του Microsoft Windows
Server 2003 με Service Pack 1 (SP1) και ασχολείται με τα ακόλουθα θέματα:
Περισσότερες πληροφορίεςΔυνατότητα αποτροπής εκτέλεσης δεδομένων (DEP) που επιβάλλεται από το υλικόΗ Δυνατότητα αποτροπής εκτέλεσης δεδομένων (DEP) που επιβάλλεται από το υλικό σημειώνει όλες τις θέσεις μνήμης σε μια διαδικασία ως μη εκτελέσιμες, εκτός αν η θέση περιέχει αποκλειστικά εκτελέσιμο κώδικα. Υπάρχει μια κλάση επιθέσεων που προσπαθεί να εισαγάγει και να εκτελέσει κώδικα από θέσεις μνήμης χωρίς δυνατότητα εκτέλεσης. Η δυνατότητα DEP βοηθά στην αποτροπή αυτών των επιθέσεων, αναχαιτίζοντάς τις και παρουσιάζοντας ένα μήνυμα εξαίρεσης.Η δυνατότητα αποτροπής εκτέλεσης δεδομένων (DEP) που επιβάλλεται από το υλικό βασίζεται στο υλικό του επεξεργαστή για να σημειώσει τη μνήμη με μια ιδιότητα που υποδεικνύει ότι αυτός ο κώδικας δεν πρέπει να εκτελεστεί από αυτήν τη μνήμη. Η δυνατότητα DEP λειτουργεί ανά σελίδα εικονικής μνήμης και αλλάζει συνήθως ένα bit στην καταχώρηση πίνακα σελίδων (PTE) για να σημειώσει τη σελίδα μνήμης. Η αρχιτεκτονική του επεξεργαστή προσδιορίζει τον τρόπο εκτέλεσης της DEP στο υλικό και τον τρόπο με τον οποίο η δυνατότητα DEP σημειώνει τη σελίδα εικονικής μνήμης. Ωστόσο, οι επεξεργαστές που υποστηρίζουν τη δυνατότητα αποτροπής εκτέλεσης δεδομένων (DEP) που επιβάλλεται από το υλικό μπορούν να εμφανίσουν ένα μήνυμα εξαίρεσης όταν ο κώδικας εκτελείται από μια σελίδα που είναι σημειωμένη με το κατάλληλο σύνολο ιδιοτήτων. Η AMD (Advanced Micro Devices) και η Intel έχουν καθορίσει και αποστείλει αρχιτεκτονικές που είναι συμβατές με τα Windows, οι οποίες είναι συμβατές και με τη δυνατότητα DEP. Ξεκινώντας με το Windows XP SP2, η έκδοση 32-bit των Windows χρησιμοποιεί ένα από τα ακόλουθα στοιχεία:
Σημείωση Επειδή οι πυρήνες 64-bit έχουν δυνατότητα AWE (Address Windowing Extensions), δεν υπάρχει ξεχωριστός πυρήνας PAE στις εκδόσεις 64-bit των Windows. Για πρόσθετες πληροφορίες σχετικά με τις δυνατότητες PAE και AWE στον Windows Server 2003, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft (Knowledge Base): 283037
(http://support.microsoft.com/kb/283037/EL/
)
Υπάρχει διαθέσιμη υποστήριξη εκτεταμένης μνήμης στον Windows Server 2003 και τα Windows 2000
Δυνατότητα DEP που επιβάλλεται από το λογισμικόΈνα πρόσθετο σύνολο ελέγχων ασφαλείας για την αποτροπή εκτέλεσης έχει προστεθεί στο Windows XP SP2. Αυτοί οι έλεγχοι, γνωστοί ως δυνατότητα DEP που επιβάλλεται από το λογισμικό, έχουν σχεδιαστεί με σκοπό τον αποκλεισμό επιβλαβούς κώδικα ο οποίος επωφελείται από τους μηχανισμούς χειρισμού εξαιρέσεων των Windows. Η δυνατότητα DEP που επιβάλλεται από το λογισμικό εκτελείται σε όλους τους επεξεργαστές που έχουν τη δυνατότητα εκτέλεσης του Windows XP SP2. Από προεπιλογή, η δυνατότητα DEP που επιβάλλεται από το λογισμικό βοηθά στην προστασία μόνο περιορισμένων δυαδικών στοιχείων συστήματος, ανεξάρτητα από τις δυνατότητες της DEP που επιβάλλεται από το υλικό του επεξεργαστή.ΠλεονεκτήματαΤο κύριο πλεονέκτημα της DEP είναι ότι βοηθά στην αποτροπή εκτέλεσης κώδικα από σελίδες δεδομένων, όπως προεπιλεγμένες σελίδες heap, διάφορες σελίδες στοίβας και σελίδες χώρου συγκέντρωσης μνήμης. Τυπικά, ο κώδικας δεν εκτελείται από το προεπιλεγμένο heap και τη στοίβα. Η δυνατότητα DEP που επιβάλλεται από το υλικό ανιχνεύει κώδικα που εκτελείται από αυτές τις θέσεις και παρουσιάζει ένα μήνυμα εξαίρεσης κατά την εκτέλεση. Εάν δεν έχει γίνει χειρισμός της εξαίρεσης, η διαδικασία θα διακοπεί. Η εκτέλεση κώδικα από προστατευμένη μνήμη σε λειτουργία πυρήνα προκαλεί ένα σφάλμα διακοπής (Stop).Η δυνατότητα DEP μπορεί να βοηθήσει να αποκλειστεί μια κλάση εισβολών ασφαλείας. Ειδικότερα, η δυνατότητα DEP μπορεί να βοηθήσει στον αποκλεισμό ενός επιβλαβούς προγράμματος στο οποίο ένας ιός ή άλλος τύπος επίθεσης έχει εισαγάγει μια διαδικασία με πρόσθετο κώδικα και, στη συνέχεια, προσπαθεί να εκτελέσει αυτόν τον κώδικα. Σε ένα σύστημα με δυνατότητα DEP, η εξαίρεση του κώδικα που έχει εισαχθεί προκαλεί μια εξαίρεση. Η δυνατότητα DEP που επιβάλλεται από το λογισμικό μπορεί να βοηθήσει στον αποκλεισμό προγραμμάτων που επωφελούνται από τους μηχανισμούς χειρισμού εξαιρέσεων των Windows. Ρυθμίσεις παραμέτρων της δυνατότητας DEP για ολόκληρο το σύστημαΟι ρυθμίσεις παραμέτρων της δυνατότητας DEP για ολόκληρο το σύστημα ελέγχονται μέσω διακοπτών που βρίσκονται στο αρχείο Boot.ini. Εάν είστε συνδεδεμένος ως διαχειριστής, μπορείτε τώρα να ρυθμίσετε εύκολα τις παραμέτρους της δυνατότητας DEP χρησιμοποιώντας το παράθυρο διαλόγου Σύστημα (System) του "Πίνακα ελέγχου" (Control Panel).Τα Windows υποστηρίζουν τέσσερις ρυθμίσεις παραμέτρων για ολόκληρο το σύστημα τόσο για τη δυνατότητα DEP που επιβάλλεται από το υλικό όσο και για τη δυνατότητα DEP που επιβάλλεται από το λογισμικό. Σύμπτυξη αυτού του πίνακα
Παρόμοια, εάν η πολιτική DEP για ολόκληρο το σύστημα έχει οριστεί σε OptOut, τα προγράμματα που έχουν εξαιρεθεί από την προστασία DEP θα εξαιρεθούν τόσο από τη δυνατότητα DEP που επιβάλλεται από το υλικό όσο και από τη δυνατότητα DEP που επιβάλλεται από το λογισμικό. Οι ρυθμίσεις του αρχείου Boot.ini είναι οι εξής: /noexecute=Το επίπεδο_πολιτικής Σημείωση Το επίπεδο_πολιτικής καθορίζεται ως
AlwaysOn, AlwaysOff, OptIn ή OptOut.Οι υπάρχουσες ρυθμίσεις /noexecute του αρχείου Boot.ini δεν αλλάζουν όταν είναι εγκατεστημένο το Windows XP SP2. Οι ρυθμίσεις αυτές δεν αλλάζουν επίσης όταν μετακινείτε μια εικόνα του λειτουργικού συστήματος των Windows σε υπολογιστές με ή χωρίς υποστήριξη από τη δυνατότητα DEP που επιβάλλεται από το υλικό. Κατά την εγκατάσταση του Windows XP SP2 και του Windows Server 2003 SP1 ή νεότερων εκδόσεων, το επίπεδο πολιτικής OptIn ενεργοποιείται από προεπιλογή, εκτός αν έχει καθοριστεί διαφορετικό επίπεδο πολιτικής σε μια εγκατάσταση χωρίς παρακολούθηση. Εάν η ρύθμιση /noexecute=Το επίπεδο_πολιτικής δεν υπάρχει στο αρχείο Boot.ini για μια έκδοση των Windows που υποστηρίζει τη δυνατότητα DEP, η συμπεριφορά είναι ίδια όπως ακριβώς να είχε συμπεριληφθεί η ρύθμιση /noexecute=OptIn. Εάν είστε συνδεδεμένοι ως διαχειριστές, μπορείτε να ρυθμίσετε με μη αυτόματο τρόπο τη δυνατότητα DEP για εναλλαγή μεταξύ των πολιτικών OptIn και OptOut χρησιμοποιώντας την καρτέλα Αποτροπή εκτέλεσης δεδομένων (Data Execution Prevention) της ενότητας Ιδιότητες συστήματος (System Properties). Η ακόλουθη διαδικασία περιγράφει τον τρόπο μη αυτόματης ρύθμισης της δυνατότητας DEP στον υπολογιστή:
Για να ρυθμίσετε τη δυνατότητα DEP για μετάβαση στην πολιτική AlwaysOn με χρήση του αρχείου Boot.ini, ακολουθήστε αυτά τα βήματα:
Ρυθμίσεις παραμέτρων της δυνατότητας DEP ανά πρόγραμμαΓια λόγους συμβατότητας προγραμμάτων, μπορείτε επιλεκτικά να απενεργοποιήσετε τη δυνατότητα DEP για μεμονωμένα προγράμματα 32-bit, όταν η δυνατότητα DEP έχει οριστεί σε επίπεδο πολιτικής OptOut. Για να το κάνετε αυτό, χρησιμοποιήστε την καρτέλα Αποτροπή εκτέλεσης δεδομένων (Data Execution Prevention) της ενότητας Ιδιότητες συστήματος (System Properties) για να απενεργοποιήσετε επιλεκτικά τη δυνατότητα DEP για ένα πρόγραμμα. Για τους επαγγελματίες τεχνολογιών πληροφορικής (IT), μια νέα επιδιόρθωση συμβατότητας προγραμμάτων που ονομάζεται DisableNX συμπεριλαμβάνεται στο Windows XP SP2. Η επιδιόρθωση συμβατότητας προγραμμάτων DisableNX απενεργοποιεί την "Αποτροπή εκτέλεσης δεδομένων" (Data Execution Prevention) για το πρόγραμμα στο οποίο εφαρμόζεται η επιδιόρθωση.Η επιδιόρθωση συμβατότητας προγραμμάτων DisableNX μπορεί να εφαρμοστεί σε ένα πρόγραμμα χρησιμοποιώντας το Application Compatibility Toolkit. Για περισσότερες πληροφορίες σχετικά με τη συμβατότητα εφαρμογών στα Windows, ανατρέξτε στο θέμα Συμβατότητα εφαρμογών στα Windows της ακόλουθης τοποθεσίας της Microsoft στο Web (στα αγγλικά): http://www.microsoft.com/technet/prodtechnol/windows/appcompatibility/default.mspx
(http://www.microsoft.com/technet/prodtechnol/windows/appcompatibility/default.mspx)
Για περισσότερες
πληροφορίες, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να προβάλετε το
άρθρο της Γνωσιακής Βάσης της Microsoft (Knowledge Base): 912923
(http://support.microsoft.com/kb/912923/EL/
)
Τρόπος διαπίστωσης εάν το υλικό DEP είναι διαθέσιμο στον υπολογιστή σας και εάν οι παράμετροί του είναι ρυθμισμένες
Αναφορές Για
περισσότερες πληροφορίες, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για να
προβάλετε το άρθρο της Γνωσιακής Βάσης της Microsoft (Knowledge Base): 899298
(http://support.microsoft.com/kb/899298/EL/
)
Το θέμα της Βοήθειας (Help) "Κατανόηση της αποτροπής εκτέλεσης δεδομένων" (Understanding Data Execution Prevention) αναφέρει εσφαλμένα την προεπιλεγμένη ρύθμιση για το DEP στο Windows Server 2003 Service Pack 1
Οι πληροφορίες σε αυτό το άρθρο ισχύουν για:
| Άλλοι πόροι Tοποθεσίες υποστήριξης
ΚοινότηταΆμεση λήψη βοήθειαςΜεταφράσεις άρθρων
|






Windows Live
Facebook
Twitter
Linkedin
Digg it
Yahoo
Delicious
StumbleUpon
Yammer
Reddit
Technorati
FriendFeed
Email
Επιστροφή στην αρχή
