如何設定 Windows XP SP2 的記憶體保護
發佈日期: 2004 年 12 月 9 日
簡介
開始之前
對電腦上的所有程式而啟用 DEP
啟用 DEP 例外清單
設定整個系統的 DEP 選項
相關資訊
Microsoft Windows XP Service Pack 2 (SP2) 藉著實作一套硬體及軟體執行技術:資料執行防止 (DEP),協助保護您的電腦,防止惡意程式碼插入要保留給非執行程式碼的電腦記憶體區域內。由硬體執行的 DEP 是某些處理器的功能,能防止在標示為資料儲存的記憶體區域內執行程式碼。此功能也稱為「不執行與執行保護」(No-Execute and Execution Protection)。Windows XP SP2 也採用軟體執行的 DEP,用以減少 Windows 內例外處理機制的弱點。
硬體及軟體執行的 DEP 技術與防毒程式不同,並非用來防止有害程式安裝到電腦中, 而是監視已安裝的程式,協助判斷它們是否安全使用系統記憶體。為了監視程式,硬體執行的 DEP 會追蹤宣告為「非執行」的記憶體位置。為了協助防止惡意程式碼,若記憶體宣告為「非執行」,而程式嘗試從記憶體執行程式碼,Windows 將關閉該程式。無論程式碼是否為惡意,都會如此處理。
**注意:**以軟體為基礎的 DEP 是 Windows XP SP2 的一部分,預設為啟用,而與處理器的硬體執行 DEP 功能無關。根據預設,軟體執行的 DEP 適用於核心作業系統元件與服務。
DEP 的預設設定是以應用程式相容性遭受最小影響的前提下,保護您的電腦。但是您的 DEP 設定可能會造成某些程式無法正確執行。您可以使用本文件所述的工作,設定電腦上的 DEP:
對電腦上的所有程式啟用 DEP
在 DEP 例外清單中新增程式
對整部電腦停用 DEP
**重要:**本文中所有說明步驟,都會從安裝作業系統時預設會出現的 [開始] 功能表開始操作。若您已經修改過 [開始] 功能表,整個步驟可能稍有不同。
如需安全性相關名詞的定義,請參閱下列資訊:
- Microsoft 網站上的<Microsoft 資訊安全辭彙>(英文),網址是:https://go.microsoft.com/fwlink/?LinkId=35468
如需 DEP 的更多資訊,請參閱:
- Microsoft 技術支援服務網站上的 Microsoft 知識庫文件編號 875352,網址是:https://go.microsoft.com/fwlink/?linkid=35494
本文件提供在 Windows XP SP2 上設定 DEP 的指南。
**注意:**採用 DEP 相容處理器、並執行 Microsoft Windows XP 64-Bit Edition 的電腦,預設會啟用由硬體執行的 DEP。64 位元應用程式將不會從記憶體的「非執行」區域中執行。無法停用硬體執行的 DEP。
在 Windows XP SP2 上,以及在任何處理器上執行的 32 位元應用程式上的軟體執行 DEP,可設定為使用記憶體的「可執行」或「非執行」區域。
硬體及軟體 DEP 的預設設定能保護核心 Windows 元件與服務,而且對於應用程式相容性的影響最小,但是您也能設定 DEP 保護電腦上的所有應用程式與程式。若您設定 DEP 保護電腦上的所有應用程式與程式,會獲得額外保護的優點,但是也可能發生其他應用程式相容性的問題。若您設定 DEP 保護電腦上的所有應用程式與程式,而 32 位元應用程式發生相容性問題,您可以從軟體 DEP 保護中去除個別的 32 位元應用程式。在具有 DEP 相容處理器的 64 位元 Windows XP 系統上執行的硬體 DEP 或 64 位元應用程式,您無法加以停用或去除。
- 憑證:您必須使用具有本機系統管理員權限的帳戶登入電腦。
對所有應用程式啟用 DEP
按一下 [開始],再按 [控制台]。
在 [選取類別目錄] 下,按一下 [效能及維護]。
在 [或選取 [控制台] 圖示] 之下,按一下 [系統]。
按一下 [進階] 索引標籤。
圖 1 [系統內容] - [進階] 索引標籤
在 [效能] 區域中,按一下 [設定]。
圖 2 效能選項
按一下 [資料執行防止] 索引標籤。
圖 3 [資料執行防止] 索引標籤
選取 [為所有的 Windows 程式和服務開啟 DEP,除了我選擇的這些:]。
按一下 [套用],再按 [確定]。對話方塊出現,告知您必須重新啟動電腦,設定才能生效。按一下 [確定]。
確認所有程式的 DEP 設定都已套用
按一下 [開始],再按 [控制台]。
在 [選取類別目錄] 下,按一下 [效能及維護]。
在 [或選取 [控制台] 圖示] 之下,按一下 [系統]。
按一下 [進階] 索引標籤。
在 [效能] 區域中,按一下 [設定],然後按一下 [資料執行防止]。
確認選取 [為所有的 Windows 程式和服務開啟 DEP,除了我選擇的這些:],然後按一下 [確定] 以關閉 [效能設定]。
按一下 [確定] 以關閉 [系統內容],然後關閉 [效能及維護]。
若 DEP 使應用程式發生問題,系統會顯示對話方塊通知您。
圖 4 當應用程式嘗試執行而發生 DEP 問題時,會出現的對話方塊
若 DEP 造成應用程式失敗,Microsoft 強烈建議您聯繫應用程式供應商,查詢是否有 DEP 相容的更新。安裝這種更新,是解決應用程式的 DEP 相容問題較合適的解決方案。
若應用程式沒有更新,請按照下列步驟,存取並設定例外清單。例外清單就是從 DEP 中排除的應用程式清單。
**注意:**只有在 DEP 設定設為保護所有程式與服務時,才能使用 DEP 例外清單功能。若您設定電腦只保護基本的 Windows 元件和服務,就無法使用例外清單。
- 憑證:您必須使用具有本機系統管理員權限的帳戶登入電腦。
啟用 DEP 例外清單
按一下 [開始],再按 [控制台]。
在 [選取類別目錄] 下,按一下 [效能及維護]。
在 [或選取 [控制台] 圖示] 之下,按一下 [系統]。
按一下 [進階] 索引標籤。
圖 5 [系統內容] - [進階] 索引標籤
在 [效能] 區域中,按一下 [設定]。
圖 6 效能選項
按一下 [資料執行防止] 索引標籤。
圖 7 [資料執行防止] 索引標籤
按一下 [新增]。
尋找並選取失敗的應用程式可執行檔,然後按一下 [開啟]。
在警告方塊中,按一下 [確定]。選取的程式現在就會出現在 DEP 程式區域內。
按一下 [套用],再按 [確定]。對話方塊出現,告知您必須重新啟動電腦,設定才能生效。按一下 [確定]。
確認記憶體保護設定已經套用
按一下 [開始],再按 [控制台]。
在 [選取類別目錄] 下,按一下 [效能及維護]。
在 [或選取 [控制台] 圖示] 之下,按一下 [系統]。
按一下 [進階] 索引標籤。
在 [效能] 區域中,按一下 [設定],然後按一下 [資料執行防止]。
確認例外清單包含所要的程式,然後按一下 [確定] 以關閉 [效能設定]。
按一下 [確定] 以關閉 [系統內容],然後關閉 [效能及維護]。
若要為您的電腦進行整個系統的 DEP 變更,您必須為目前執行的 Windows 安裝修改 boot.ini 設定檔案的一個參數。boot.ini 的參數是:
- /noexecute =原則層級
表 1 列出原則層級的選項。
表 1 DEP boot.ini 原則層級選項
原則層級 | 描述 |
---|---|
OptIn (預設設定) | 只有 Windows 系統元件和服務已經套用 DEP 保護 |
OptOut | 對所有處理程序啟用 DEP。系統管理員可以手動建立沒有套用 DEP 的特定應用程式清單 |
AlwaysOn | 對所有處理程序啟用 DEP |
AlwaysOff | 沒有對任何處理程序啟用 DEP |