linux nx是Linux操作系统对CPU提供的NoExecute（不可执行）特性的支持实现，属于系统内存保护机制的核心组成部分，主要作用是限制内存区域的代码执行权限，防范各类基于内存执行的攻击行为。
linux nx的核心定义
nx全称为NoExecute，是x86架构CPU提供的一项硬件特性，Linux内核从2.6.8版本开始正式支持该特性。它的核心逻辑是为内存页设置执行权限标记，当内存页被标记为nx属性时，CPU会禁止从该内存页读取指令并执行，即使攻击者成功向该区域写入了恶意代码，也无法被CPU运行。
在没有nx特性支持的早期系统中，很多内存区域（比如栈、堆）默认是可执行的，攻击者可以通过缓冲区溢出漏洞，将恶意shellcode写入栈或堆空间，然后跳转执行这些代码，获取系统权限。linux nx的出现从硬件层面阻断了这类攻击路径。
linux nx的工作原理
linux nx的工作依赖CPU硬件和内核的共同配合，具体流程如下：
- CPU需要在页表项（Page Table Entry）中提供NX位（第63位，x86_64架构），用于标记该内存页是否允许执行。
- Linux内核在初始化内存管理时，会识别CPU是否支持NX特性，如果支持则会在页表设置时应用该标记。
- 内核默认会将栈、堆、数据段等不需要执行代码的内存区域标记为NX属性，仅给代码段等需要执行的内存区域保留可执行权限。
- 当程序尝试跳转到标记为NX的内存区域执行指令时，CPU会触发页错误异常，内核会终止该进程的运行，避免恶意代码执行。
如何查看Linux系统是否支持nx
可以通过多种方式确认当前Linux系统是否开启了nx支持：
方法1：查看/proc/cpuinfo文件
执行以下命令查看CPU特性标记：
# 查看CPU是否支持nx特性 grep -E 'nx' /proc/cpuinfo
如果输出中包含nx标记，说明CPU硬件支持该特性。
方法2：查看内核启动参数
部分系统可能通过内核参数禁用了nx，可以查看内核启动参数确认：
# 查看内核启动参数 cat /proc/cmdline
如果参数中没有noexec=off，说明内核默认开启了nx支持。如果出现noexec=off，则表示nx特性被手动关闭。
方法3：检查内存区域的执行权限
可以查看某个进程的内存映射，确认栈等区域是否被标记为不可执行：
# 查看当前shell进程的内存映射 cat /proc/$$/maps
输出中如果栈区域（通常标记为[stack]）的权限不包含x（执行权限），说明nx特性正在生效。
linux nx的相关配置
大部分情况下Linux系统会默认开启nx支持，不需要额外配置，如果有特殊需求可以调整相关设置：
临时关闭nx特性
如果需要临时测试关闭nx的效果，可以在内核启动参数中添加noexec=off，修改grub配置文件后重启系统即可，但不建议在生产环境关闭该特性。
确认内核支持状态
可以查看内核编译配置确认是否开启了nx支持：
# 查看内核配置中是否开启NX支持 grep CONFIG_X86_NX /boot/config-$(uname -r)
如果输出为CONFIG_X86_NX=y，说明内核编译时已经开启了nx支持。
linux nx的常见疑问
nx和DEP有什么区别
DEP（Data Execution Prevention，数据执行保护）是Windows系统对同类特性的称呼，linux nx是Linux系统下的实现，二者核心逻辑一致，都是基于CPU的NoExecute特性实现内存执行权限限制。
开启nx会影响程序运行吗
正常开发的程序不会受到影响，因为合法程序的代码都存放在专门的代码段中，具备可执行权限。只有那些刻意将代码写入数据区域执行的恶意程序或者存在漏洞的程序才会被阻断，这也是nx的安全价值所在。
所有CPU都支持nx吗
AMD在2003年推出的Athlon 64处理器首次引入了NX位，Intel从Prescott核心的Pentium 4处理器开始支持该特性，目前主流的x86架构CPU基本都支持nx，老旧的部分32位CPU可能不支持该特性。
注意：修改内核启动参数或者系统配置前建议做好备份，避免因配置错误导致系统无法正常启动。如果生产环境需要关闭nx特性，一定要充分评估安全风险，确认业务程序确实存在兼容问题再操作。