如何为WPF .NET Core应用单独强制启用DEP与ASLR安全标志

可以完全不受目标设备环境影响，在应用编译层面固定强制启用 DEP 和 ASLR 安全标志。

你遇到的不同设备上标志不一致的问题，是因为默认配置下 .NET Core 应用的安全特性会部分继承系统全局安全策略，通过以下编译配置修改即可覆盖系统策略，固定启用两个特性：

强制启用 DEP（数据执行保护） #

DEP 对应 PE 头的 NXCOMPAT 标识，两种配置方式二选一即可：

• 直接修改项目 .csproj 文件，在主 PropertyGroup 节点下添加配置：

  <DataExecutionPrevention>true</DataExecutionPrevention>
  

  重新编译后会自动给生成的 exe 文件设置 NX_COMPAT 标志。
• 或者在项目生成后事件中添加以下命令，用 EditBin 工具修改 PE 头：

  editbin /NXCOMPAT $(TargetPath)
  

  需确保 Visual Studio 开发环境命令行工具已加入环境变量，EditBin 可正常调用。

强制启用 ASLR（地址空间布局随机化） #

ASLR 对应 PE 头的 DYNAMICBASE 标识，同样两种配置方式二选一：

• 修改项目 .csproj 文件，在主 PropertyGroup 节点下添加配置：

  <RandomizedBaseAddress>true</RandomizedBaseAddress>
  

• 或者在生成后事件中添加命令：

  editbin /DYNAMICBASE $(TargetPath)
  

验证配置生效 #

编译完成后，可以通过 dumpbin 工具查看 PE 头信息确认效果，执行命令：

dumpbin /headers $(TargetPath)

输出结果中出现 NX Compatible 说明 DEP 已启用，出现 Dynamic base 说明 ASLR 已启用。

以上配置修改的是应用程序本身的 PE 文件头标识，只要目标设备运行的是 Windows Vista 及以上版本（都原生支持 DEP/ASLR），Windows 加载器会优先读取 PE 头的配置启用对应安全特性，完全不受设备全局安全策略影响，不会再出现不同设备检测结果不一致的问题。即便是自包含部署、单文件发布的版本，该配置也会正常生效。

内容的提问来源于stack exchange，提问作者Sujith S