Номер статті: 875352 - Востаннє переглянуто: 18 жовтня 2006 р. - Редакція: 14.2 Детальний опис функції "Заборона виконання даних" (DEP) у Windows XP з пакетом поновлення 2 (SP2), Windows XP Tablet PC Edition 2005 і Windows Server 2003
На цій сторінціПІДСУМКИЗаборона виконання даних (Data Execution Prevention, або DEP) - це сукупність апаратних і програмних технологій, які шляхом додаткових перевірок пам'яті запобігають виконанню в системі шкідливого програмного коду. В операційних системах Microsoft Windows XP з пакетом поновлення 2 (SP2) і Microsoft Windows XP Tablet PC Edition 2005 DEP застосовується як на апаратному, так і на програмному рівні. Головна перевага DEP - можливість запобігати виконанню програмного коду зі сторінок даних. Звичайно вміст стосу за промовчанням (heap) і стека не є виконуваним кодом. Апаратна DEP виявляє код, запущений із цих областей пам'яті, і порушує виняток. Програмна DEP запобігає використанню шкідливим програмним кодом механізмів керування винятками у Windows. ВСТУПУ цій статті описується функція DEP у Windows XP з пакетом оновлень 2 (SP2) й у Microsoft Windows Server 2003 з пакетом оновлень 1 (SP1) і обговорюються такі питання:
ДОДАТКОВІ ВІДОМОСТІАпаратна DEPАпаратна DEP позначає всі області пам'яті процесу як непридатні для запуску коду, якщо тільки така область не містить явно виконуваний програмний код. Це робиться для захисту від атак, коли зловмисник намагається вставити свій програмний код у невиконувані області пам'яті та запустити його звідти. DEP перехоплює такі спроби та порушує виняткову ситуацію.В апаратній DEP використовується можливість процесора виявляти спеціальний атрибут областей пам'яті й не виконувати код з областей із таким атрибутом. DEP працює на рівні окремих сторінок віртуальної пам'яті і, щоб позначити таку сторінку, звичайно змінює один біт в елементі таблиці сторінок (page table entry - PTE). Реалізація DEP в обладнанні та спосіб позначення сторінок віртуальної пам'яті визначається архітектурою процесора. Процесори, які підтримують апаратну DEP, можуть порушувати виняток у разі запуску коду зі сторінки пам'яті, позначеної відповідним атрибутом. Компанії Advanced Micro Devices (AMD) та Intel випускають сумісні з Windows процесори, які підтримують DEP. Починаючи з пакета оновлень 2 (SP2) для Windows XP у 32-розрядній версії Windows використовується один із таких методів.
Примітка. Оскільки 64-розрядні ядра підтримують технологію розширення вікна адресації (Address Windowing Extensions, AWE), у 64-розрядних версіях Windows немає окремого ядра PAE. Щоб отримати додаткові відомості про PAE та AWE у Windows Server 2003, клацніть номер статті в базі знань Microsoft Knowledge Base: 283037
(http://support.microsoft.com/kb/283037/
)
Підтримка пам'яті великого розміру у Windows Server 2003 та Windows 2000. (Це посилання може вказувати на матеріали, повністю або частково викладені англійською мовою.) Програмна DEPУ пакеті оновлень 2 (SP2) для Windows XP реалізовано додаткові перевірки, які дають змогу забороняти виконання даних. Ці перевірки, які мають назву програмної DEP, розроблено для запобігання роботі шкідливого програмного коду, який використовує механізми обробки винятків у Windows. Програмна DEP може працювати на будь-якому процесорі, який підтримує Windows XP SP2. За промовчанням програмна DEP захищає лише деякі системні двійкові файли, незалежно від можливостей процесора з підтримки апаратної DEP.ПеревагиГоловна перевага DEP - можливість запобігати виконанню програмного коду зі сторінок даних, таких як сторінки стосу за промовчанням, різні сторінки стека та сторінки пула пам'яті. Звичайно вміст стосу за промовчанням (heap) і стека не є виконуваним кодом. Апаратна DEP виявляє код, запущений із цих областей пам'яті, і порушує виняток. Якщо цей виняток залишається необробленим, процес зупиняється. У режимі ядра виконання коду із захищеної пам'яті призводить до невиправної помилки (Stop).Функція DEP дає змогу відвертати цілий клас загроз безпеці. Зокрема, DEP може сприяти блокуванню шкідливої програми, у ході роботи якої вірус вставляє у процес додатковий код, а потім намагається запустити цей код. Якщо система підтримує DEP, виконання вставленого коду викликає виняток. Програмна DEP може сприяти блокуванню програм, які використовують системні механізми обробки винятків. Конфігурація DEP на рівні системиКонфігурація DEP на рівні системи визначається параметрами у файлі Boot.ini. Користувач із правами адміністратора може змінити параметри DEP за допомогою діалогового вікна Система панелі керування.Windows підтримує чотири можливі конфігурації DEP на рівні системи (як для апаратної, так і для програмної реалізації). Згорнути цю таблицю
Аналогічно, якщо на рівні системи для DEP вибрано конфігурацію OptOut, то програми, виведені з-під захисту DEP, звільняються як від апаратної, так і від програмної DEP. Параметри у файлі Boot.ini мають такий вигляд: /noexecute=рівень_політики Примітка. рівень_політики може мати одне з значень: AlwaysOn, AlwaysOff, OptIn або OptOut.Існуючі значення параметра /noexecute у файлі Boot.ini не змінюються в разі інсталяції пакета оновлень 2 (SP2) для Windows XP. Ці значення також не змінюються, якщо образ операційної системи Windows переносять на інший комп'ютер, незалежно від того, чи є на ньому підтримка апаратної DEP. Під час інсталяції Windows XP з пакетом оновлень 2 (SP2), Windows Server 2003 з пакетом оновлень 1 (SP!) або новішої версії за промовчанням вмикається рівень політики OptIn, якщо в параметрах автоматичної установки не зазначено інший рівень політики. Якщо у файлі Boot.ini для версії Windows, яка підтримує DEP, немає параметра /noexecute=рівень_політики, діє режим /noexecute=OptIn. Користувач із правами адміністратора може вручну вибрати для DEP рівень політики OptIn або OptOut на вкладці Заборона виконання даних у діалоговому вікні Властивості системи. Щоб вручну налаштувати DEP на комп'ютері, виконайте такі дії.
Щоб зазначити використання для DEP політики AlwaysOn за допомогою Boot.ini, виконайте такі дії.
Конфігурація DEP для окремих програмРівень політики OptOut дає змогу з метою забезпечення сумісності програм вимкнути функцію DEP для окремих 32-розрядних програм. Для цього слід скористатися вкладкою Заборона виконання даних вікна Властивості системи. Для фахівців з інформаційних технологій до складу пакета оновлень 2 (SP2) для Windows XP включено нове виправлення DisableNX для забезпечення сумісності програм. Це виправлення вимикає функцію DEP для програми, до якої воно застосовується.Виправлення DisableNX можна застосувати до програми за допомогою комплекту Application Compatibility Toolkit. Щоб отримати додаткові відомості про сумісність застосунків Windows, перегляньте статтю Windows Application Compatibility (англійською мовою) на веб-сайті Майкрософт за адресою http://technet.microsoft.com/windowsvista/aa905066.aspx
(http://technet.microsoft.com/windowsvista/aa905066.aspx)
Щоб отримати додаткові відомості, клацніть номер статті в базі знань Microsoft Knowledge Base:
912923
(http://support.microsoft.com/kb/912923/
)
Як визначити наявність і конфігурацію апаратної заборони виконання даних (DEP) на комп'ютері. (Це посилання може вказувати на матеріали, повністю або частково викладені англійською мовою.) ПОСИЛАННЯ
Щоб отримати додаткові відомості, клацніть номер статті в базі знань Microsoft Knowledge Base:
899298
(http://support.microsoft.com/kb/899298/
)
У розділі довідки "Про заборону виконання даних" неправильно вказано прийняту за замовчуванням настройку DEP у Windows Server 2003 з пакетом оновлень 1 (SP1). (Це посилання може вказувати на матеріали, повністю або частково викладені англійською мовою.) ЗАСТОСОВУЄТЬСЯ ДО:
| Інші ресурси Інші сайти підтримки
Спільнота
Отримати довідку заразПереклади статей
|
На початок
