关于CPU内嵌的防病毒技术

CPU内嵌的防病毒技术：是一种硬件防病毒技术，与操作系统相配合，可以防范大部分针对缓冲区溢出（buffer overrun）漏洞的攻击（大部分是病毒）。Intel的防病毒技术是EDB（Excute Disable Bit），AMD的防病毒技术是EVP（Ehanced Virus Protection），但不管叫什么，它们的原理都是大同小异的。严格来说，目前各个CPU厂商在CPU内部集成的防病毒技术不能称之为“硬件防毒”。首先，无论是Intel的EDB还是AMD的EVP，它们都是采用硬软结合的方式工作的，都必须搭配相关的操作系统和软件才能实现；其次，EDB和EVP都是为了防止因为内存缓冲区溢出而导致系统或应用软件崩溃的，而这内存缓冲区溢出有可能是恶意代码（病毒）所为，也有可能是应用程序设计的缺陷所致（无意识的），因此我们将其称之为“防缓冲区溢出攻击”更为恰当些。

在计算机内部，等待处理的数据一般都被放在内存的某个临时空间里，这个临时存放空间被称为缓冲区（Buffer），缓冲区的长度事先已经被程序或者操作系统定义好了。缓冲区溢出（buffer overrun）：是指当计算机程序向缓冲区内填充的数据位数超过了缓冲区本身的容量。溢出的数据覆盖在合法数据上。理想情况是，程序检查数据长度并且不允许输入超过缓冲区长度的字符串。但是绝大多数程序都会假设数据长度总是与所分配的存储空间相匹配，这就为缓冲区溢出埋下隐患。操作系统所使用的缓冲区又被称为堆栈，在各个操作进程之间，指令被临时存储在堆栈当中，堆栈也会出现缓冲区溢出。当一个超长的数据进入到缓冲区时，超出部分就会被写入其他缓冲区，其他缓冲区存放的可能是数据、下一条指令的指针，或者是其他程序的输出内容，这些内容都被覆盖或者破坏掉。可见一小部分数据或者一套指令的溢出就可能导致一个程序或者操作系统崩溃。而更坏的结果是，如果相关数据里包含了恶意代码，那么溢出的恶意代码就会改写应用程序返回的指令，使其指向包含恶意代码的地址被CPU编译而执行，而这可能发生“内存缓冲区溢出攻击”，“冲击波”、“震荡波”等蠕虫病毒就是采用这种手段来攻击电脑的。

缓冲区溢出是由编程错误引起的。如果缓冲区被写满，而程序没有去检查缓冲区边界，也没有停止接收数据，这时缓冲区溢出就会发生。缓冲区边界检查被认为是不会有收益的管理支出，计算机资源不够或者内存不足是编程者不编写缓冲区边界检查语句的理由，然而技术的飞速发展已经使这一理由失去了存在的基础，但是多数用户日常主要应用的程序中大多数其实仍然是十年甚至二十年前的程序代码，并没有检查缓冲区边界的功能。缓冲区溢出是病毒编写者和特洛伊木马编写者偏爱使用的一种攻击方法。攻击者或者病毒善于在系统当中发现容易产生缓冲区溢出之处，运行特别程序，获得优先级，指示计算机破坏文件，改变数据，泄露敏感信息，产生后门访问点，感染或者攻击其他计算机。对于缓冲区溢出攻击，防毒杀毒软件虽然也可以处理，但也只能是亡羊补牢，而操作系统和应用软件的漏洞又是难以预测的，随时可能被利用，引来缓冲区溢出攻击。在这种情况下，预防缓冲区溢出攻击应该从硬件层次着手，开始成为许多IT厂商的共识，于是大家俗称的CPU硬件防病毒功能应运而生了。缓冲区溢出攻击最基本的实现途径是向正常情况下不包含可执行代码的内存区域插入可执行的代码，并欺骗CPU执行这些代码。而如果我们在这些内存页面的数据区域设置某些标志（No eXecute或eXcute Disable），当CPU读取数据时检测到该内存页面有这些标志时就拒绝执行该区域的可执行指令，从而可防止恶意代码被执行，这就是CPU的防缓冲区溢出攻击实现的原理。

而对于开启了EDB或EVP功能的计算机来说，一般也就可实现数据和代码的分离，而在内存某个页面将被设置为只做数据页，而任何企图在其中执行代码的行为都将被CPU所拒绝。当然，开启EDB、EVP功能的CPU是无法独立完成标注不可执行代码内存页面以及进行相关检测防治工作的，它还需要相关操作系统和应用程序的配合。

目前，Windows XP SP2、Windows Server 2003 SP1及64bit的Windows操作系统都提供了对EDB、EVP技术的支持。如果你使用的操作系统是Windows XP SP2，那么启用其中的DEP（Data Execution Protection，数据执行保护）功能即可为你的电脑提供比较全面的防缓冲区溢出攻击功能。DEP是可以独立运行的，并也可帮助防御某些类型的恶意代码攻击，但要充分利用DEP可以提供的保护功能，就需要CPU的配合了。DEP可单独或和兼容的CPU一起将内存的某些页面位置标注为不可执行，如果某个程序尝试从被保护的位置运行代码，将会被CPU拒绝同时DEP会关闭程序并通知用户，从而在一定程度上保障用户电脑的安全。

CPU内嵌的防病毒技术以及操作系统的防病毒技术因此在目前来说可能还存在着一些兼容性的问题，例如因应用程序设计的缺陷或驱动程序而导致的误报（特别是一些比较老的驱动程序）；另外，对于有些程序来说，是采用实时生成代码方式来执行动态代码的，而生成的代码就有可能位于标记为不可执行的内存区域，这就有可能导致DEP将其检测为非法应用程序而将其关闭。而这些都还有赖于硬件和软件厂商的相互配合解决，当然，这些都是需要的时间。因此，DEP、EDB、EVP等技术都还在向前发展。