Windows Vista下的指針穩定性

Question

我一直在Windows XP Pro 64位下爲C和C++項目使用Visual Studio 2005一段時間。我經常在調試器中使用的一個常用技巧是記住程序以前的調試運行（例如0x00000000FFAB8938）中的數字指針值，將其添加到具有適當類型轉換（例如((MyObject *) 0x00000000FFAB8938)->data_field）的觀察窗口中，然後在下一次調試期間觀察該對象佔用的內存。在許多情況下，這是相當方便和有用的事情，因爲只要代碼保持不變，預計分配的內存佈局將保持不變也是合理的。總之，它的工作原理。

但是，最近我開始在Windows Vista（家庭高級版）64位筆記本電腦上使用相同版本的Visual Studio。奇怪的是，在這個設置中使用這個技巧要困難得多。實際的內存地址似乎經常從運行中改變而沒有明顯的原因，即使程序的代碼完全沒有改變。看起來，實際的地址並沒有完全隨機地改變，它只是從一個固定的或多或少穩定的一組值中選擇一個值，但無論如何，這使得這種類型的內存觀察變得更加困難。

有沒有人知道在Windows Vista中這種行爲的原因？什麼導致了內存佈局的變化？是否有外部入侵其他[系統]進程的進程地址空間？或者它是Vista下堆API實施的一些怪癖/特徵？有什麼辦法可以防止這種情況發生？

Answer 1

Windows Vista執行address space layout randomization, heap randomization, and stack randomization。這是一種安全機制，試圖防止依賴於每條代碼和數據在內存中的位置的知識的緩衝區溢出攻擊。

可以通過設置MoveImages註冊表值來關閉ASLR。我找不到一種方法來禁用堆隨機化，但一些微軟傢伙建議計算相對於_crtheap的地址。即使堆移動，相對地址也可能保持穩定。