DEP (資料執行防護) 四種運作模式完整解析與設定指引

DEP (Data Execution Prevention) 透過硬體 (Intel XD bit / AMD NX bit) 與作業系統協作，標記記憶體頁面為不可執行，防止緩衝區溢位攻擊。Windows 提供四種啟動模式，對應不同安全性與相容性需求。

四大模式對照表

設定方法

圖形介面 (用戶版)

1. Win+Pause → 「進階系統設定」 → 「效能」區塊「設定」 → 「資料執行防護」頁籤。
2. 選擇「為所有程式開啟 DEP，除了我選取的」 (OptOut) 或「僅為基本 Windows 程式和服務開啟 DEP」 (OptIn)。
3. 按「新增」選擇欲排除的執行檔。

命令列 (BCDEdit) - 需管理員權限

bcdedit /set nx OptIn
bcdedit /set nx OptOut
bcdedit /set nx AlwaysOn
bcdedit /set nx AlwaysOff

修改後 重新開機 生效。可用 bcdedit /enum 查看目前 nx 值。

相關術語

• DEP：Data Execution Prevention，資料執行防護 (微軟稱呼)。
• EDB：Execute Disable Bit，Intel 實作技術。
• EVP：Enhanced Virus Protection，AMD 實作技術。

排錯提示

• 舊版 16-bit 應用、未簽署驅動、特定安全軟體可能與 DEP 衝突導致崩潰，嘗試將該程式加入排除清單 (OptIn/OptOut 模式)。
• 64 位元系統預設 AlwaysOn，且 64 位元進程永遠受 DEP 保護，無法排除。
• 開發者編譯 64 位元程式時加入 /NXCOMPAT (VC++) 或 -z nxcompat (GCC) 可明確宣告相容。