windows 10可通过注册表强制启用全局aslr：在hkey_local_machine\system\currentcontrolset\control\session manager\memory management下新建dword值moveimage并设为ffffffff（十六进制-1），重启后用process explorer验证非系统进程image base地址是否每次不同；也可通过组策略对特定程序（如control.exe,0x200）单独启用aslr。
Windows 10默认对系统核心模块启用ASLR（地址空间布局随机化），但第三方应用和部分旧版DLL可能未开启ImageBase随机化，导致攻击者可预测内存地址实施缓冲区溢出利用。要真正阻断这类攻击路径，必须强制所有可加载映像启用ASLR，而非依赖程序自身是否带IMAGE_DLL_CHARACTERISTICS_DYNAMIC_BASE标志。
通过注册表启用全局ASLR强制模式
此方法绕过应用程序编译时的兼容性妥协，直接在系统层强制所有映像基址随机化，适用于所有Windows 10版本（含家庭版）。
按下Win + R输入regedit，以管理员身份运行注册表编辑器。
导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management。
在右侧空白处右键 → 新建 → DWORD (32位)值，命名为MoveImage。
【必须设为十六进制值-1】：双击MoveImage，将“数值数据”设为FFFFFFFF（即-1的十六进制表示），“基数”选十六进制。设为0会彻底禁用ASLR，设为其他正整数则仅对带动态基址标志的模块生效，达不到强制效果。
关闭注册表编辑器，重启电脑使设置生效。
验证ASLR是否已强制启用
重启后需确认系统已按预期工作，不能仅看注册表项存在就认为成功。
下载并运行Microsoft官方工具Process Explorer（Sysinternals套件），以管理员身份启动。
在进程列表中右键任意非系统进程（如notepad.exe）→ Properties → Image → 查看“Image Base”地址；再结束该进程，重新打开一次记事本，再次查看Image Base地址。
若两次地址完全不同（例如首次是0x7FFFE1230000，第二次是0x7FFFDA450000），说明ASLR强制随机化已生效；若地址恒定不变，则注册表写入失败或被组策略覆盖。
注意：Explorer.exe等系统关键进程因加载顺序特殊，其Image Base在单次启动中固定，不代表ASLR失效，应测试用户态普通进程。
使用组策略为特定进程单独配置ASLR
当需要对某款老旧软件（如未更新的工业控制客户端）单独启用ASLR，又不想影响全局行为时，可用此方法精准干预。
按下Win + R输入gpedit.msc，以管理员权限打开本地组策略编辑器。
依次展开：计算机配置 → 管理模板 → 系统 → 安全性设置 → 进程缓解措施 → 处理缓解措施。
双击“配置进程缓解措施”，设置为【已启用】，点击【显示】按钮。
在弹出窗口中输入目标程序完整路径及参数，格式为：appname.exe,0x200。其中0x200是ASLR强制启用的位标志值（对应EnableForceRelocateImages）。
例如，要为C:\LegacyApp\control.exe启用强制ASLR，就填入：C:\LegacyApp\control.exe,0x200。每行一个程序，不可遗漏.exe扩展名。
