Windows系统之ASLR 与 Mandatory ASLR （Address Space Layout Randomization）

原创

ITPAPA
ITPAPA

ITPAPA

2026年10月19日 18:03
江苏

去阅读

ASLR 与 Mandatory ASLR 地址布局随机化

ASLR 通过改变代码和数据的虚拟地址布局，降低攻击者预先猜中目标地址的成功率。Mandatory ASLR 可要求未显式选择 ASLR 的映像重定位，但不能自动修复不可重定位的程序。[1][2]

主要面向 Windows 11 与现代 64 位应用。区分映像基址随机化、Bottom up 随机化、高熵地址空间与强制重定位；不同处理器架构存在差异。

逻辑架构与请求流

图 1  配置进入执行组件，请求经过检查后产生结果与后续处理。图示为职责关系，非固定进程或调用栈。

保护边界

随机化不提供内存读写访问控制，也不能消除信息泄露风险。模块在同次启动期间复用相同映射地址并不必然表示失败；需要同时检查编译属性、策略和实际布局。

02 运行逻辑与关键参数

1  编译链接输出 DYNAMIC\_BASE 及重定位信息。64 位高熵支持还受 HIGH\_ENTROPY\_VA 与 LARGEADDRESSAWARE 等属性影响；应检查整个依赖链。[1][2]

2  创建进程时确定映像重定位与分配随机化策略。Mandatory ASLR 与 Bottom up ASLR 分别解决强制重定位与分配随机化，不能混作一个参数。

3  装载器选择可用基址，对实际基址与首选基址的差值应用重定位修正；没有必要重定位信息的固定地址映像可能无法正常加载。

4  运行中记录模块实际地址、映射区和错误状态。跨启动或跨设备比较可帮助验证，但重复运行同一模块的地址不变不是充分反证。

关键参数与判读

参数或对象	位置或类型	功能与判读
/DYNAMICBASE	链接选项	声明可随机重定位
/HIGHENTROPYVA	64 位链接选项	允许更大的随机地址空间；依赖 /DYNAMICBASE
ForceRelocateImages	进程 ASLR 策略	对应 Mandatory ASLR
BottomUp 与 HighEntropy	进程缓解配置	分别关注分配位置与 64 位熵
DisallowStrippedImages	进程 ASLR 策略	拒绝被剥离重定位的映像，兼容影响需验证

参数表区分编译属性、配置意图与运行状态。字段存在不等于当前版本可写；SDK 结构中保留位不得自行赋值。

03 底层对象与实现机制

三个地址不能混读

文件偏移是磁盘位置，RVA 是相对装载基址的位置，VA 是运行时虚拟地址。一般有 VA=实际模块基址+RVA；将 RVA 转文件偏移还需节映射关系，不能直接相加。ASLR 变化的首先是装载布局，并不要求同一函数在文件里的偏移每次改变。[D1]

重定位是可装载性条件

装载器计算实际基址与 PE 首选 ImageBase 的差值，并对必要的重定位项修正。示意计算为新绝对地址=旧绝对地址+基址差；重定位类型随架构不同。没有有效重定位表的映像不能靠强制随机化凭空获得可重定位代码，程序中硬编码地址也未必都能被表项覆盖。

随机化覆盖与统计判断

EnableForceRelocateImages、EnableBottomUpRandomization、EnableHighEntropy 和 DisallowStrippedImages 是不同状态位。[D2] 单次地址观测不能估计随机化熵。比较实验需记录启动边界、映像哈希、位数、装载顺序和样本数；模块共享与地址复用可能让相邻观测相同。

对象和证据对照

对象或数据结构	技术职责	可观测与判读
ImageBase	PE 首选基址	不能用作真实模块地址
Base Relocation Directory	按类型记录地址修正	检查目录和条目是否完整
RVA 与实际 VA	VA=模块基址+RVA	跨转储按 RVA 关联同一函数
ASLR policy 四个状态位	强制重定位 分配随机化 高熵 拒绝剥离	分别记录而非一个布尔值
模块标识	路径 版本 SHA256	地址比较必须是同一版本映像

04 执行时序与检查边界

沿一次请求依次观察输入、状态、检查位置、输出和失败去向。以下为职责级时序，不把图中角色强行对应为固定函数或独立进程。

图 2  请求和结果的时序示意。自指箭头表示角色内部处理，失败去向不必是可恢复的业务返回。

图中装载器自处理表示重定位逻辑，不是所有条目都通过用户态可见 API 单独处理。不同加载场景的内核和用户态分工不能只凭示意图推断。

排障时同时记录加载错误和最早失败模块，主 EXE 正常不代表延迟插件可重定位。

观测与证明的区别

静态属性证明构建或配置意图，运行查询证明当前对象状态，事件和转储证明某次路径发生过什么。至少让两类证据相互支持；当接口失败、符号不匹配或负载未覆盖时，明确标记未知。

05 组件文件与基础诊断

文件或对象	职责	排障关注点
目标 EXE DLL 的 PE 头	ImageBase DllCharacteristics	区分首选值与运行值
PE Base Relocation Directory	保存地址修正条目	检查重定位是否被剥离
%SystemRoot%\System32\
tdll.dll	用户态装载器	通过匹配符号分析加载失败
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options	应用覆盖策略所在区域	通过受支持接口管理，勿直接拼接位掩码

以下以提升权限的 Windows PowerShell 5.1 为常见查询环境。dumpbin 和 signtool 需 Visual Studio 或 WDK；WinDbg 命令在调试会话执行。预先准备可写的 C 盘 Lab 测试目录，示例路径、进程名与域账号按现场替换，导出文件避免覆盖原证据。

Get-ProcessMitigation -System
Get-ProcessMitigation -Name demo.exe
Get-ProcessMitigation -Name demo.exe -RunningProcesses
dumpbin /headers C:\Lab\demo.exe
dumpbin /relocations C:\Lab\legacy.dll

WinDbg

lm
!address -summary

事件与错误解释

加载失败可表现为应用启动错误或 DLL 加载失败。记录具体 NTSTATUS、失败模块及它的重定位属性。系统没有一个适用于所有进程的“ASLR 成功事件 ID”；运行态模块基址与进程策略是主要证据。

诊断资料可能包含账号、文件路径与业务数据。保存原始证据，分析使用副本；共享前只保留定位问题所需信息。

06 实操实验与结果解释

将同版本模块位置归一化为 RVA

以下为自有测试进程的只读采集。先启动 demo，再执行；跨位数枚举可能受限制，访问拒绝作为采集失败记录。

实验约定  先准备C盘Lab目录与测试数据。C++样例使用匹配架构的Visual Studio和Windows SDK；源码与命令以代码注释区分。样例需在目标Windows环境编译或执行后填写实测记录。

$target = Get-Process -Name demo -ErrorAction Stop |
  Select-Object -First 1
$rows = foreach ($m in $target.Modules) {
  [pscustomobject]@{
    PID = $target.Id
    ProcessStart = $target.StartTime.ToString('o')
    Module = $m.FileName
    Base = ('0x{0:X}' -f $m.BaseAddress.ToInt64())
    Bytes = $m.ModuleMemorySize
  }
}
$rows | Export-Csv C:\Lab\modules.csv -NoTypeInformation
dumpbin /headers C:\Lab\demo.exe
dumpbin /relocations C:\Lab\demo.exe

对转储使用 lmvm demo，再用符号确定故障 RVA

预期结果与证据限制

1  CSV 是运行地址清单；dumpbin ImageBase 是首选值。两者可比较但语义不同。

2  跨启动记录应另带系统最近启动时间和映像 SHA256；不要将两个不同版本 DLL 的基址变化作为 ASLR 效果。

3  观察到相同地址只构成一个样本，观察到不同地址也不等于随机熵达到某个固定数字。

07 验证流程与故障分流

验证 1

映像检查：用 dumpbin 比对 EXE 及所有插件的 Dynamic base、High Entropy VA 和重定位表。预期没有不明的固定地址依赖。

验证 2

策略检查：在实验机仅对目标应用配置强制重定位并重新启动该应用；保存配置前后结果。预期指定策略生效且依赖可加载。

验证 3

布局检查：跨系统重启采集模块映射并比较；同时记录系统版本。预期观察到随机布局能力，而非承诺每次启动每个模块必定换地址。

常见问题判断表

现象	优先检查	处理方向
开启后启动失败	查固定地址 DLL 和重定位表	升级组件或收窄兼容例外
64 位仍低熵	查完整依赖与构建选项	修正链接配置
地址重复	记录系统启动边界	改善验证方法

排障证据与验收记录

先记录 Windows 版本与构建、处理器架构、相关软件和驱动版本、策略来源及最近变更。随后对齐时间、进程或设备标识、文件哈希、错误码和日志正文；缺少关联时保留为待验证假设。

验收至少保留配置结果、重启或重启应用后的运行状态、合法工作负载结果、无害负向测试结果以及恢复验证。远程环境缺少物理条件的项目应列为未测，不以命令执行成功代替功能通过。

08 互操作版本与性能分析

关联对象	机制关系	现场决策
Mandatory 与 Bottom up	强制重定位不等于全部分配获得期望随机性	一起核验四个运行状态位
地址泄露	有效地址信息会降低不可预测性	同时修复泄露而非只增加随机化
32 位地址空间	空间更小且地址压力不同	不能承诺与64位相同熵
ARM64 与兼容层	构建和策略限制不同	按实际机器架构与映像类型核查

版本和平台

ASLR 的主要可用性风险常在装载与地址假设，性能应记录冷启动与稳态，避免把缓存和磁盘差异误判。

覆盖和证据

强制重定位推广先覆盖所有插件。对同名程序，策略可能按文件名或路径定位，必须检查是否影响不相关版本。

性能与恢复

回退恢复的是应用覆盖，不能假定卸载某个 GPO 就自动清除已写入的缓解配置。

量化验证方法

以同设备、同版本、同输入和同运行模式做前后对照，记录样本数、预热、吞吐、P95或P99延迟、CPU与失败率。计时比较前先确认目标保护实际运行，避免把功能未启动或业务降级误认为优化成功。涉及启动、登录或外设的功能还应记录状态转换和时间线。

09 典型排障案例与最佳实践

以下为按机制设计的演练案例，用于说明证据链与处理方法，不代表公开披露的真实事故。

案例 1  强制随机化后老插件无法加载

证据  主程序可启动，legacy.dll 加载失败；PE 无有效重定位表。

根因判断  Mandatory ASLR 暴露固定基址依赖。

处理  重新链接保留重定位；升级插件，确需例外时仅限该应用且设到期日。

复测  重启应用并覆盖插件各入口；恢复策略后仍能正常装载。

案例 2  两次查看 DLL 地址相同

证据  同一系统启动期间重复装载同版本共享模块。

根因判断  测试方法没有区分映像复用与随机化失效。

处理  补充跨启动、跨设备与 PE 属性证据，不凭一次截图关闭功能。

复测  验证策略、编译标志、加载地址三个维度相符。

部署与恢复原则

先盘点遗留插件，再分应用测试 Mandatory ASLR。用导出的缓解策略保留基线。撤销管理策略并不保证已写入的覆盖自动清除，应通过明确的重置配置恢复，再重启应用检查。

处理顺序为先收集证据，再最小范围复现，优先修复应用、驱动或策略缺口，最后复测保护与业务。确需临时兼容配置时，记录责任人、作用对象、到期时间和恢复条件，验证后明确撤销。

10 深入排障演练与根因验证

本章为机制推导的完整演练，不是实际事故复盘。步骤中的预期与假设必须由现场证据验证，不能直接作为客户环境结论。

1  复现条件：升级保护模板后主程序启动成功，但首次打开特定格式文件失败。

2  分层定位：先查格式插件加载事件，区分文件解析错误与 DLL 装载错误。

3  静态证据：目标插件缺少有效重定位；主 EXE 标志正常不提供反证。

4  动态证据：记录实际加载失败状态，确认失败前已应用强制重定位策略。

5  修复：由供应商重新链接并修正硬编码地址；保留重定位信息和兼容声明。

6  回归：重新启动进程，覆盖普通加载、延迟加载、格式转换和第三方扩展。

7  验收：固定映像版本，保存静态属性、运行策略与装载行为三类证据，取消临时例外后再次验证。

提交研发或供应商的最小资料集

提供稳定复现步骤、系统构建、架构、对象版本与哈希、有效策略及运行状态、原始错误和相同时间范围日志。涉及崩溃补充匹配转储与符号，涉及驱动补充INF CAT SYS和设备实例，涉及认证保留协议与账号类型。报告分开写观察事实、根因假设、修复动作与复测结果。

11 配置部署与恢复

1  从漏洞利用防护的程序设置选择唯一应用路径，分别测试 强制映像随机化 与 自下而上随机化；不要把两项合并成一个不明覆盖。

2  以 Get ProcessMitigation 导出结果对照管理模板，保留应用原始覆盖。重置要明确撤销覆盖而非仅取消 GPO 分配，再重启目标应用。

现场实施顺序

保留基线

导出有效策略及相关软件和驱动清单；标记系统构建、时间和变更单。先确认本地与集中管理是否会互相覆盖。

小范围验证

选择硬件和应用组合具有代表性的测试设备，按验证章节分别检查配置、运行和行为。只使用无害样本及测试数据。

分组推广

对审计发现逐项处理，再按机型、应用组合及业务窗口逐步扩大。监控启动失败、崩溃、认证失败和业务延迟等实际指标。

恢复与复测

通过原管理来源恢复明确的旧策略；涉及锁定或签名策略时遵循专用流程。重启或重启应用后重新验收，不以设置值变化作为恢复成功。

主要参考资料

以微软公开文档为主要依据，引用编号对应本册条目。技术推导、诊断顺序和演练方案属于运维设计；具体默认值和支持范围以目标构建及当前厂商资料为准。

[1] DYNAMICBASE

https://learn.microsoft.com/en-us/cpp/build/reference/dynamicbase-use-address-space-layout-randomization

[2] HIGHENTROPYVA

https://learn.microsoft.com/en-us/cpp/build/reference/highentropyva-support-64-bit-aslr

[3] Exploit protection reference

https://learn.microsoft.com/en-us/defender-endpoint/exploit-protection-reference

12 技术参考与术语速查

正文中的数字引用保留原版基础资料；D编号对应下列深化资料。架构推导、实验设计和诊断方法用于解释机制，不构成未公开内部接口的稳定承诺。

[D1] PE format

https://learn.microsoft.com/en-us/windows/win32/debug/pe-format

[D2] ASLR policy

https://learn.microsoft.com/en-us/windows/win32/api/winnt/ns-winnt-process\_mitigation\_aslr\_policy

本册关键对象速查

术语或对象	使用时先确认
ImageBase	不能用作真实模块地址
Base Relocation Directory	检查目录和条目是否完整
RVA 与实际 VA	跨转储按 RVA 关联同一函数
ASLR policy 四个状态位	分别记录而非一个布尔值
模块标识	地址比较必须是同一版本映像

独立使用检查

先检查适用架构和版本，再确认工具与权限。配置意图、实际运行、具体触发事件分开记录。源文件、符号和策略ID按版本固定；未知字段或失败查询保留原始错误。完成修复后复测目标功能与关联业务，并撤销临时例外。