如果 DEP 停止了某个应用程序，是否有可能在日志中看到该事件？

Question

DEP（Microsoft 的数据执行保护）有时会停止某些应用程序并将其从内存中清除。作为管理员，我可以在日志中看到此类事件吗？如果是，可以查看哪一个？

我的经验是，帮助中没有关于 DEP 的用户信息，用户仅报告所需应用程序从其屏幕上消失。这种情况发生在运行 Windows 2003 R2 64 位服务器的 Citrix 服务器上。

Answer 1

是的，我非常确定您会在应用程序日志中看到应用程序错误！

Answer 2

是的，应用程序事件日志将显示Error带有 的条目Event ID = 1000。

根据我的经验，异常 ID 为 0xc0000005（STATUS_ACCESS_VIOLATION）的事件通常表明应用程序与 DEP 不兼容。

应用程序开发人员应该了解用户模式下的 DEP 行为。用户模式 ​​DEP 异常会导致 Windows 系统上出现 STATUS_ACCESS_VIOLATION (0xc0000005)。位于 EXCEPTION_RECORD 结构内的 ExceptionInformation 的第一个参数包含发生的访问冲突类型。ExceptionInformation[0] 的值为 8 表示访问冲突是执行冲突。

来源：http://technet.microsoft.com/en-us/library/cc738483(WS.10).aspx