Windows Server 2003 資料執行保護 (DEP) 開啟、關閉與進階設定完整指南

DEP 運作原理

資料執行保護 (DEP) 監控程式對記憶體的使用，防止惡意代碼在標記為「不可執行」的記憶體區域執行。DEP 可單獨以軟體模式運作，或搭配支援 NX/XD 位元的處理器（AMD Athlon 64、Opteron、Intel Itanium/Itanium 2 等）啟用硬體 DEP，提供更完整的防護。

一、透過 GUI 設定

1. 「控制台」→「系統」→「進階」→「效能」→「設定」→「資料執行保護」。
2. 選項：

• 僅為基本 Windows 程式和服務開啟 DEP（預設，相容性最佳）。
• 除我選取的程式外，為所有程式和服務開啟 DEP（可將特定不相容程式加入例外清單）。

二、透過修改 boot.ini 強制控制（適用於 GUI 選項被鎖定或需自動化部署）

關閉 DEP

[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows Server 2003, Enterprise" /execute /fastdetect

關鍵參數：/execute（等同 /noexecute=alwaysoff）。

開啟 DEP（預設模式）

[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows Server 2003, Enterprise" /noexecute=optin /fastdetect

關鍵參數：/noexecute=optin（僅核心程式），或 /noexecute=optout（全域開啟，可指定例外）。

修改 boot.ini 前請先備份，並移除「唯讀」屬性。修改完成後恢復唯讀並重新開機。

三、DEP 參數對照表

四、常見問題與建議

• 若遇到「記憶體無法為 READ/WRITE」錯誤，嘗試關閉 DEP 或將該程式加入例外清單。
• 伺服器角色（如網站伺服器、資料庫伺服器）建議啟用 DEP（optin 或 optout）並確認關鍵服務相容性。
• 處理器不支援硬體 DEP 時，系統自動回退至軟體 DEP，防護能力有限，建議升級硬體。
• 部署前請在測試環境驗證所有業務應用程式在 DEP 啟用狀態下穩定運行。

結語

DEP 是重要的記憶體保護機制，正確配置可大幅降低緩衝區溢位攻擊風險。透過 GUI 或 boot.ini 皆可靈活控制，建議採用「僅核心程式啟用」作為基準，針對不相容應用程式個別設定例外。