EDB檢視原始碼討論檢視歷史
| EDB |
EDB全稱Execute Disable Bit，即防病毒技術。CPU內嵌的防病毒技術是一種硬件防病毒技術，與操作系統相配合，可以防範大部分針對緩衝區溢出（buffer overrun）漏洞的攻擊（大部分是病毒）。Intel的防病毒技術是EDB（Excute Disable Bit），AMD的防病毒技術是EVP（Ehanced Virus Protection），但不管叫什麼，它們的原理都是大同小異的。
簡介
嚴格來說，各個CPU廠商在CPU內部集成的防病毒技術不能稱之為「硬件防毒」。首先，無論是Intel的EDB還是AMD的EVP，它們都是採用硬軟結合的方式工作的，都必須搭配相關的操作系統和軟件才能實現；其次，EDB和EVP都是為了防止因為內存緩衝區溢出而導致系統或應用軟件崩潰的，而這內存緩衝區溢出有可能是惡意代碼（病毒）所為，也有可能是應用程序設計的缺陷所致（無意識的），因此我們將其稱之為「防緩衝區溢出攻擊」更為恰當些。在計算機內部，等待處理的數據一般都被放在內存的某個臨時空間裡，這個臨時存放空間被稱為緩衝區（Buffer），緩衝區的長度事先已經被程序或者操作系統定義好了。緩衝區溢出（buffer overrun）是指當計算機程序向緩衝區內填充的數據位數超過了緩衝區本身的容量。溢出的數據覆蓋在合法數據上。理想情況是，程序檢查數據長度並且不允許輸入超過緩衝區長度的字符串。但是絕大多數程序都會假設數據長度總是與所分配的存儲空間相匹配，這就為緩衝區溢出埋下隱患。操作系統所使用的緩衝區又被稱為堆棧，在各個操作進程之間，指令被臨時存儲在堆棧當中，堆棧也會出現緩衝區溢出。當一個超長的數據進入到緩衝區時，超出部分就會被寫入其他緩衝區，其他緩衝區存放的可能是數據、下一條指令的指針，或者是其他程序的輸出內容，這些內容都被覆蓋或者破壞掉。可見一小部分數據或者一套指令的溢出就可能導致一個程序或者操作系統崩潰。而更壞的結果是，如果相關數據里包含了惡意代碼，那麼溢出的惡意代碼就會改寫應用程序返回的指令，使其指向包含惡意代碼的地址，使其被CPU編譯而執行，而這可能發生「內存緩衝區溢出攻擊」，名噪一時的「衝擊波」、「震盪波」等蠕蟲病毒就是採用這種手段來攻擊電腦的。
評價
而對於開啟了EDB或EVP功能的計算機來說，一般也就可實現數據和代碼的分離，而在內存某個頁面將被設置為只做數據頁，而任何企圖在其中執行代碼的行為都將被CPU所拒絕。當然，開啟EDB、EVP功能的CPU是無法獨立完成標註不可執行代碼內存頁面以及進行相關檢測防治工作的，它還需要相關操作系統和應用程序的配合。Windows XP SP2、Windows Server 2003 SP1及64bit的Windows操作系統都提供了對EDB、EVP技術的支持。如果你使用的操作系統是Windows XP SP2，那麼啟用其中的DEP（Data Execution Protection，數據執行保護）功能即可為你的電腦提供比較全面的防緩衝區溢出攻擊功能。DEP是可以獨立運行的，並也可幫助防禦某些類型的惡意代碼攻擊，但要充分利用DEP可以提供的保護功能，就需要CPU的配合了。DEP可單獨或和兼容的CPU一起將內存的某些頁面位置標註為不可執行，如果某個程序嘗試從被保護的位置運行代碼，將會被CPU拒絕同時DEP會關閉程序並通知用戶，從而在一定程度上保障用戶電腦的安全。CPU內嵌的防病毒技術以及操作系統的防病毒技術因此來說可能還存在着一些兼容性的問題，例如因應用程序設計的缺陷或驅動程序而導致的誤報（特別是一些比較老的驅動程序）；另外，對於有些程序來說，是採用實時生成代碼方式來執行動態代碼的，而生成的代碼就有可能位於標記為不可執行的內存區域，這就有可能導致DEP將其檢測為非法應用程序而將其關閉。而這些都還有賴於硬件和軟件廠商的相互配合解決，當然，這些都是需要的時間。因此，DEP、EDB、EVP等技術都還在向前發展。[1]