前言：作業系統層面的硬體防毒新紀元
緩衝區溢位 是駭客植入惡意碼的經典手法。AMD 與 Intel 在 CPU 晶片層面引入「不可執行位元」 (NX Bit / XD Bit)，標記記憶體頁面為「不可執行」，從硬體層面阻擋資料區執行程式碼。Windows XP SP2 與 Red Hat Enterprise Linux 3 新版首度在主流作業系統完整支援此技術。
AMD 增強病毒保護 (Enhanced Virus Protection - EVP)
- 技術內容：修改處理器矽晶結構，改變程式碼進出系統記憶體的方式，阻擋惡意碼在資料區 (堆疊/堆積) 執行。
- 支援 CPU：AMD Athlon 64 / Opteron 系列 (K8 微架構起)。
- 作業系統支援：Windows XP SP2 (晚期釋出)、Linux 核心 2.6.8+ (含 NX 模擬/硬體支援)。
Intel NX (No-Execute) 技術與 Exec Shield
- NX 技術：Intel Itanium 早已支援，現下放至 x86 (Pentium 4 後期/Prescott、Celeron D、Core 系列) 與 x86-64 (EM64T) 處理器。CPU 與記憶體控制器協作，標記頁面為不可執行，防止緩衝區溢位攻擊執行殼層碼。
- Exec Shield (Red Hat 開發)：軟體層面輔助技術，分離程式堆疊與指令區，在緩衝區溢位時防止可執行碼被錯誤運行。配合硬體 NX 提供雙重防護。
Windows XP SP2 實作：資料執行防護 (DEP - Data Execution Prevention)
- 啟用方式：系統內容 → 進階 → 效能設定 → 資料執行防護 索引標籤。
- 兩種模式：
- 僅對基本 Windows 程式與服務啟用 DEP (預設)：保護核心系統元件。
- 對所有程式啟用 DEP (排除我選取的)：全面防護，可手動排除相容性有問題的舊版應用程式。
- 需 CPU 支援 NX/XD Bit 且 BIOS 啟用 (通常預設開啟)。無硬體支援時 XP SP2 會以軟體模擬 (較低效能)。
Red Hat Enterprise Linux 3 更新版實作
- 核心整合 NX 支援 (x86/x86-64)，配合 Exec Shield 提供完整防護。
- 編譯器工具鏈 (GCC) 加入
-fstack-protector、-D_FORTIFY_SOURCE=2 等強化選項，編譯階段植入堆疊檢查碼。
- SELinux 強制存取控制與 NX/Exec Shield 協同，構建多層防禦體系。
意義與展望
- 從「修補漏洞」轉向「阻斷漏洞利用路徑」：即使存在緩衝區溢位漏洞，惡意碼也無法在資料區執行，大幅降低 0-day 攻擊成功率。
- 驅動程式開發者需注意：核心模式驅動程式必須正確標記記憶體屬性，否則會觸發 DEP 導致系統停損 (BSOD)。
- 未來趨勢：控制流程完整性 (CFI)、影子堆疊、記憶體標記 (MTE) 等更進階硬體/軟體協同防護技術將持續演進。
結語
Windows XP SP2 與 Red Hat Enterprise Linux 3 領銜支援 CPU 級 NX/XD Bit 技術，標誌著作業系統安全防護邁入「硬體協同防禦」新時代。對使用者而言，升級 SP2 並確保 BIOS 開啟 NX/XD 功能，即可免費獲得強大的緩衝區溢位免疫力，是資安投資報酬率極高的關鍵動作。
