DEP数据执行保护和SEHOP结构化异常处理覆盖保护到底有多大作用？

显示全部楼层 · 发表于 2013-7-30 17:49:52

在Server 2012系统里都是默认开启的，对于安全防护有多大提升？

显示全部楼层 · 发表于 2013-7-30 19:21:11

应该是对非法注入有一定防护吧，不怎么懂

显示全部楼层 · 发表于 2013-7-30 20:02:50

感觉是防漏洞的
太高端了

显示全部楼层 · 发表于 2013-7-30 20:04:13

这个真心太高端了~~

服务器系统个人好用嘛？

显示全部楼层 · 发表于 2013-7-30 21:09:17

DEP默认对系统程序是启动的（可以设置对所有程序启动），XP/Vista/7/8/2008/2012都是

至于SEHOP，好像Vista/7/2008要手动开启，2012默认以开启（要修改注册表）（http://support.microsoft.com/kb/956607/zh-cn），Windows 8未知（找不到资料……）

Windows 内核将监控程序的执行。如果内核检测到试图从未标记为可执行的内存页运行代码，则内核将阻碍程序的执行，导致 “ 崩溃 ” 。这是一个安全措施，可以帮助确保应用程序中与内存相关的漏洞（例如，缓冲区溢出）不会被用来执行恶意代码。

简单来说就是防止恶意程序利用缓冲区溢出的一种保护措施（其实就是让程序自杀，防止被利用）

SEHOP的官方解释（http://support.microsoft.com/kb/956607/zh-cn）

此功能旨在阻止使用结构化异常处理程序 (SEH) 覆盖技术的利用漏洞攻击。在运行时提供了这种保护机制。因此，它有助于保护应用程序。

简单来说，SEH攻击是利用溢出漏洞控制程序EIP（控制程序执行流程），而SEHOP则是是微软针对这种攻击提出的一种安全防护方案。

顺便提一下ASLR(http://msdn.microsoft.com/zh-cn/library/windows/apps/hh920280.aspx#binscope_3)

地址空间布局随机化 (ASLR) 将可执行文件映像加载到内存中不可预测的位置，从而使预期某个程序在特定虚拟地址加载的恶意软件更难以按可预见的方式运行。

简单来说，就是打乱程序在内存的位置，让恶意程序找不到

虽然网上已经有分别绕过DEP，SEHOP，ASLR的方法，但是要是同时绕过DEP，SEHOP和ASLR的话，可以参加黑客大赛了(据说奖金还挺高的）

显示全部楼层 · 发表于 2013-7-30 22:36:34

expensive6688 发表于 2013-7-30 21:09
DEP默认对系统程序是启动的（可以设置对所有程序启动），XP/Vista/7/8/2008/2012都是

至于 ...

安装EMET，可以选择全部总是开启，，全开状态，迅雷打不开，卸载迅雷会出现卸载程序崩溃，这是不是说明迅雷做得太渣

显示全部楼层 · 发表于 2013-7-30 22:39:10

expensive6688 发表于 2013-7-30 21:09
DEP默认对系统程序是启动的（可以设置对所有程序启动），XP/Vista/7/8/2008/2012都是

至于 ...

Server 2012 DC默认开启SEHOP，win8默认不开启需添加注册键值开启

显示全部楼层 · 发表于 2013-7-30 22:40:55

書笺发表于 2013-7-30 20:04
这个真心太高端了~~

服务器系统个人好用嘛？

Server2012可以修改非常接近win8,用着感觉差别不太大

显示全部楼层 · 发表于 2013-7-30 22:51:39

rainy3636 发表于 2013-7-30 22:36
安装EMET，可以选择全部总是开启，，全开状态，迅雷打不开，卸载迅雷会出现卸载程序崩溃，这是不是说明迅 ...

程序兼容性问题，并不一定是程序不好，当然迅雷动作也比较大的啦

主要还是防范漏洞攻击的

伟大的Presto！- 向励志的蓝核同志学习！

显示全部楼层 · 发表于 2013-7-31 10:05:29

rainy3636 发表于 2013-7-30 22:40
Server2012可以修改非常接近win8,用着感觉差别不太大

记得IE好像开启了

[讨论] DEP数据执行保护和SEHOP结构化异常处理覆盖保护到底有多大作用？