經過四天實測調整，整理出專供 ASP 程式運行的最小權限 NTFS 配置方案（PHP、JSP 原理類推）。核心邏輯：系統盤唯讀、暫存盤可寫不可執行、網站目錄可讀寫不可執行，徹底阻斷上傳木馬執行鏈。
| 路徑 | 群組/帳號 | 權限 | 備註 |
|---|---|---|---|
| C:\ | Administrators | 完全控制 | 管理員全權 |
| C:\Program Files\Common Files | Administrators + Everyone | 讀取、執行、列出資料夾 | 供系統元件調用 |
| C:\WINNT\system32\inetsrv | Administrators + Everyone | 讀取、執行、列出資料夾 | IIS 核心執行需求 |
| C:\WINNT\Temp | Administrators + IUSR_MACHINE | 讀取、寫入 | ASP 暫存檔寫入，不可執行 |
| 路徑 | 群組/帳號 | 權限 | 備註 |
|---|---|---|---|
| D:\ | Administrators | 完全控制 | 根目錄保護 |
| D:\Web | Administrators + IUSR_MACHINE | 讀取、寫入 | 僅供網頁瀏覽與資料寫入（如發文），移除「讀取與執行」 |
測試驗證：配置完成後，嘗試上傳 .asp/.cer/.aspx 木馬至 Web 目錄並請求執行，均返回「存取被拒絕」或「URL 錯誤」；Temp 目錄上傳同樣無法執行。系統穩定運行，無 500 錯誤或彈窗要求管理員認證。
註：此配置針對純 ASP 環境；若搭配 PHP/ASP.NET 需對應調整對應執行身份（如 IWAM、Application Pool Identity）的寫入路徑。
