Windows 8/8.1でEMETを使ってシステム設定を行ってはいけない

DEPまたはSEHOPを「Application Opt In」に設定すると本来有効になるべきプロセスで無効になる。

OptIn以外になっている状態からOptInにすると発症。Windows既定のOptInには問題なし。Windows既定のOptInとEMETで変更したOptInはEMET上の表示からは区別できない。

• /NXCOMPATによる自動的なDEPの有効化が行われなくなる。

• サブシステムバージョン6.2の時に自動的にSEHOPが有効化される処理が行われなくなる。

• Permanent扱いになりSetProcessDEPPolicy(PROCESS_DEP_ENABLE)によるDEPの有効化は行えなくなる。

• EMETを適用してもDEP,SEHOP共に有効にならない。（EMET 4.0未満のSEHOPを除く）

  DEPを「Application Opt Out」に設定すると自動的な救済処置と例外指定が機能しなくなる。

  Windows 7までと同じように設定している（つもりな）のに挙動が違うことになる。

• /NXCOMPATになっていないプロセスに対するATLサンクエミュレーションが行われなくなる。（OptOutに設定した時、/NXCOMPATになっていないプロセスに対してはATLサンクエミュレーションは有効が正しい）

• DEPとの明確な非互換が確認されている条件に対する自動的なDEPの無効化が行われなくなる。

• 「次に選択するものを除くすべてのプログラムおよびサービスについて DEP を有効にする」の例外リストによるDEPの無効化が行われなくなる。

• Permanent扱いになりSetProcessDEPPolicy(0)によるDEPの無効化は行えなくなる。

  DEPは既定のOptInから無変更のままSEHOPの設定を行う（設定値は問わない）とDEPの挙動が変わる。

• 基本的には上の二番目の状態に加えて有効になるDEPが全てATLサンクエミュレーション有りの状態に変わる。

• /NXCOMPATなプロセスに対してATLサンクエミュレーションが有効になる。（/NXCOMPATに対してはサンクエミュは無効が正しい）
  何が何だかわからない…。

  ASLRが無効にできない。

• Disabledにしても/DYNAMICBASEになっているDLLは再配置される。
  無効になるのはASLR非対応DLLに対する強制ASLR。
  だから一番目の問題も起きない。…。

  SEHOPの初期設定がDisabledと表示される。（EMET 4.0から）

  EMET 4.1で修正される。
  この状態からOptInに変更すると一番目の問題発症なので注意。

• この状態でもIFEOキーでのSEHOP有効化は正しく機能している。つまり実状はOptIn。

• MitigationOptionsがあるとOptIn表示になる。（ASLRかDEPの設定だけ変更後EMETを起動しなおしてもOptIn表示に変わる）

• Windows XP、Vista、7には影響しない。

• EMETを使わずシステムのプロパティやBCDEDITによるDEPの設定、DisableExceptionChainValidationによるSEHOPの設定は従来通りの挙動。（ASLR無効化の機能不全はどうしようもない）

• AlwaysOnに設定する場合は関係なし。救済も例外も無いのは従来通りの挙動。（三番目の問題に注意）

• 3.0、3.5TP、4.0β、4.0で起こる。（3.0未満は未確認）

確認とワークアラウンド

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Kernel!MitigationOptionsを16進数表示して、

• 下一桁目（DEP）か二桁目（SEHOP）が2になっていればOptInの問題あり。
  MitigationOptions値を削除して必要に応じて再設定。
  又は
  各桁を0に設定。
• 下一桁目（DEP）が1なら救済無し、例外無視の問題あり。
  0に設定してBCDストアでのみ設定する。（EMET上の表示はOptInになるが無視）
  又は
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\実行ファイル名 以下にMitigationOptionsをREG_QWORDで作成し下一桁目に2（DEP無効）又は3（DEP有効ATLサンクエミュ有り）を手動で設定。
• 下一桁目（DEP）が0で二桁目（SEHOP）が0以外ならDEPの設定が無視される問題あり。
  DEPもEMETで設定する。
  又は
  SEHOPも0にしてDisableExceptionChainValidationで設定する。（EMET上の表示はOptInかDisabledになるが無視）

↓どちらもEMET上の表示はApplication Opt In