续篇给大伙儿讲解有关Windows上地址空间布局随机化自我防御机制的剖析(上)，这篇文章详细介绍了在Windows上实行的地址空间布局随机化的一些历史时间，并讨论了Windows执行的一些作用和局限。
将32位程序再次编译程序为64位程序，以使地址空间布局随机化更合理
虽然Windows的64位版本早已成为了流行十多年了，但32位版本的使用人依然许多。有一些程序的确要维持与第三方软件的兼容模式，例如web电脑浏览器。有时候，开发设计精英团队觉得程序需要的运行内存远远地低于4 GB，因而32位代码可以节约室内空间。乃至Visual Studio在适用搭建64位运用程序以后，在一段时间内还依然适用32位运用程序。
事实上，从32位代码转换到64位代码会造成不大但可观测到的安全系数益处。缘故是随机化32位地址的功能是有局限的。对于实际缘故，请观查图1中32位x86运行内存地址的溶解方法。大量详细资料，请参照“物理学地址拓展”。
运行内存地址分成好几个部件，在其中仅有一些可以在运作时轻轻松松随机化
电脑操作系统不可以简易地将地址的随意位随机化，在网页页面一部分(0到11位)中任意分派偏移将摆脱程序对数据信息两端对齐的假定。网页页面文件目录表针(位30和31)也不可以被变更，由于第31位是为核心保存的，而第30位被物理学地址拓展作为存储体交换技术，以寻址方式2 GB以上的RAM，这促使32位地址中的14位不可以被随机化。
事实上，Windows只试着随机化32位地址中的8位。这种是位从16到23，只危害地址的页文件目录内容和页表条目一部分。因而，在暴力行为状况下，网络攻击很有可能仅用256次猜想就能猜到EXE的基本上地址。
将ASLR运用于64位二进制文件时，Windows可以任意分派地址的17-19位(实际在于它是DLL或是EXE)。图2展示了针对64位代码，很有可能的基址总数及其相对应的暴力行为猜想总数怎样显着提升，这可以使节点维护程序或网站管理员可以在伤害产生以前检验出进攻。
将32位代码再次编译程序为64位会大大增加可供地址空间布局随机化挑选的基本上地址总数
汇总起來便是：
1. 务必解决不能信数据信息的手机软件应当自始至终编译程序为64位，即使它不用应用很多运行内存，还可以灵活运用地址空间布局随机化。
在暴力行为进攻中，地址空间布局随机化使攻击64位程序的困难比进攻完全一致程序的32位版本的难度系数最少高了512倍。
2. 即使是64位ASLR也会遭受暴力行为进攻，防御者务必集中注意力检验暴力行为进攻，或是防止出现暴力行为进攻行得通的状况。
假定网络攻击每秒钟可以对一个柔弱的操作系统开展十次暴力行为试着。在通常的情形下，因为好几个案例已经运作，总体目标过程保存在同一地址，网络攻击会在还不到一分钟的時间内发觉32位程序的基地址，而在数钟头内便会发觉64位程序的基地址。64位暴力行为进攻会造成大量的影响，可是管理人员或电脑安全软件必须留意并付诸行动。除开应用64位程序来提升地址空间布局随机化的效果外，系统软件还应防止再次转化成奔溃程序，以防止让网络攻击发觉基址，为了更好地以防万一最好是强制性重启，因而应确保过程奔溃后多次更新地址室内空间。
3. 对于32位和64位版本的程序开发设计定义认证进攻的分析工作人员应首要关心32位，只需32位程序依然合理，对于程序的32位组合的定义认证进攻就很有可能更非常容易开发设计。从而造成的进攻很有可能更行得通且更有感染力，进而造成经销商迅速地修复程序。
Windows 10会比Windows 7更经常地器重任意基址，这在某种情形下有可能会使它变得越来越非常容易遭到进攻
一定要注意，即使Windows系统务必保证一个DLL或EXE的好几个案例都是在同样的基址载入，系统软件也无需在卸载掉DLL或EXE的最后一个案例时追踪基址。假如DLL或EXE再度被载入，它可以得到一个新的基地址，这也是我们在应用Windows 7时观查到的个人行为。Windows 10可以以不一样的方法工作中，即使在DLL或EXE的最后一个案例被卸载掉后，它也很有可能最少在短期内维持同样的基址，与DLL对比，EXE更是如此。在多进程程序调试下反复启动命令行程序时，可以留意到这一点。可是，假如将该程序拷贝到新文件夹名称随后运行，它将接到一个新的基地址。一样，假如通过了充足长的時间，该程序将载入到别的基址。自然，重启会为全部DLL和EXE转化成新的基地址。
汇总起來便是：除开每一次运行随机化外，不必对Windows ASLR确保做一切假定。尤其是，每每载入给出EXE或DLL的第一个案例时，不必依靠Windows 7的手段来任意分派新的地址室内空间。不必认为Windows与生俱来就能以其他方法避免对于地址空间布局随机化的暴力行为进攻，尤其是针对32位过程，在这样的情况下，暴力行为进攻很有可能必须256次或更少的猜想。
Windows 10对地址空间布局随机化的运用更为积极主动，乃至对不与地址空间布局随机化兼容的exe和dll也可以开展合理安全防护，这将会使地址空间布局随机化的运用范畴更高
Windows Vista和Windows 7是较早适用地址空间布局随机化的系统软件，因而地址空间布局随机化在制定之初在兼容模式层面开展了一些衡量。从总体上，这种旧的建立不容易将地址空间布局随机化运用于沒有标识为与地址空间布局随机化兼容的印象，也不允许地址空间布局随机化将地址消息推送到4 GB界限之外。假如一个印象沒有挑选添加地址空间布局随机化，这种Windows版本将再次应用优选的基本上地址。
可以应用Microsoft的提高减轻工作经验工具箱(通常称之为EMET)进一步强化Windows 7，以更积极地将地址空间布局随机化运用于乃至未标识为与它兼容的印象。 Windows 8引进了更多用途，可将ASLR运用于兼容问题地址空间布局随机化的印象，以能够更好地使堆分派随机化，并提升64位印象的熵十位数。
汇总起來便是：
1. 保证程序新项目应用恰当的连接器标识来挑选最主动的地址空间布局随机化完成，而且不采用一切消弱地址空间布局随机化的连接器标识。
如下所示表所显示，连接器标识将会会危害地址空间布局随机化运用到印象的方法。一定要注意，针对Visual Studio 2012及更高一些版本，“ ”标识在默认设置状况下早已开启，而且只需不应用“-”标识，便会应用最好的地址空间布局随机化完成。应用Visual Studio 2010或更早版本(可能是出自于兼容模式缘故)的开发者必须查验连接器适用的标识，及其默认设置状况下开启的标识。
连接器标识将会会危害如何把ASLR运用到印象
2. 开启强制地址空间布局随机化和由上而下的随机化，Windows 8和Windows 10包括一些可选择的作用，可在未标识为与地址空间布局随机化兼容的印象上强制性被开启，并任意分派虚拟内存设置分派，便于再次创建基本的印象来得到任意基址。当EXE与ASLR兼容，但它采用的某一dll兼容问题时，这也是很实用的。防御者应当使这种特点可以更普遍地运用地址空间布局随机化，并且关键的是，它有利于发觉一切多余的兼容问题地址空间布局随机化的程序，便于可以对它进行更新或更换。
ASLR将全部可实行印象重新定位为一个模块
ASLR根据挑选一个任意偏移来重精准定位可实行印象，并将其运用于印象中与它的基本上地址有关的全部地址。也代表着：假如EXE中的2个函数公式坐落于地址0x401000和0x401100，那麼即使在重新定位印象以后，他们中间依然维持0x100字节数的间距。很显著，这很重要，由于x86代码中长期存在相对性启用和jmp命令。一样，无论坐落于哪里，坐落于0x401000处的函数公式将与印象的基本上地址维持0x1000字节数的间距。一样，假如2个静态变量或局部变量在印象中邻近，则在运用地址空间布局随机化后他们仍将维持邻近。反过来，堆栈和堆自变量及其内存映射文档并不是印象的一部分，可以随便任意分派，而无需考虑到选用的基址。
汇总起來便是：
1. 可实行印象中仅一个表针的泄露就可以曝露全部印象的任意地址。
ASLR较大的局限和讨厌之处取决于，一些看起来没害的特点，如调节日志信息或局部变量追踪会泄露印象中的表针，进而变成系统漏洞。假如网络攻击有着同样程序或DLL的团本，而且可以开启它造成同样的泄露，那麼她们可以测算地址空间布局随机化和地址空间布局随机化以前表针中间的不同来明确随机化前后左右的偏移。随后，网络攻击可以将该偏移运用到其进攻有效载荷中的每一个表针，以绕开地址空间布局随机化。防御者应当培训软件开发者有关表针曝露系统漏洞的专业知识，便于她们了解到这一系统漏洞的严重后果，而且做为开发软件生命期的一部分，按时评定手机软件的这种系统漏洞。
2. 一些种类的运行内存毁坏系统漏洞超过了ASLR可以维护的范畴。
并并不一定的运行内存毁坏系统漏洞都必须立即完成远程控制代码实行，例如有那样一个程序，它包括一个缓冲区域自变量，用以从互联网中接受不能信的数据信息，及其一个标记变量，该自变量坐落于之后的存储空间中。标记变量包括一些位，这种位特定客户是不是已登陆及其该客户能否为管理人员。假如程序在接收缓冲区的结尾载入数据信息，则“标记变量将被遮盖，网络攻击可以与此同时设定已登入和is-admin标识。因为网络攻击不用了解或载入一切运行内存地址，因而地址空间布局随机化不容易阻拦进攻。仅有当另一种加强技术性(如c语言编译器加强标示)再次排列自变量，或是能够更好地使自变量在程序中的部位单独挪动时，该类进攻才会被阻拦。
汇总
地址空间布局随机化是对于运行内存毁坏系统漏洞的关键防御措施，这篇文章详细介绍了在Windows上实行的地址空间布局随机化的一些历史时间，并讨论了Windows执行的一些作用和局限。根据阅读文章这篇文章，防御者可以熟识怎样搭建程序流程来能够更好地利用地址空间布局随机化和Windows中保证的别的作用。但是地址空间布局随机化的自我防御机制也不是完美无缺的，网络攻击可以利用地址空间布局随机化的限定，例如只在每一次重新启动时运用地址室内空间随机化和将全部印象重新定位为一个模块随机化，进而恐吓威胁和表针泄露进攻来绕开地址室内空间随机化的安全防护。
文中翻譯自：https://www.fireeye.com/blog/threat-research/2020/03/six-facts-about-address-space-layout-randomization-on-windows.html倘若转截，请标明全文地址。