Windows 7 NTFS 磁碟配額：限制非管理員寫入空間，阻擋遠端木馬上傳
駭客入侵後必須將木馬/後門程式寫入磁碟。Windows 7 NTFS 磁碟配額可設定「除管理員外，其他使用者配額 0 KB / 拒絕超額寫入」，相當於系統層級的「寫入保護卡」，有效阻斷惡意程式落地。
原理
- NTFS 磁碟配額可針對每個使用者限制可使用磁碟空間。
- 設定「非管理員使用者配額 = 10 KB」並勾選「拒絕超過配額限制的使用者寫入」。
- 駭客以一般使用者權限（或提權後的服務帳戶）嘗試寫入任何檔案 → 系統拒絕 → 木馬無法落地。
設定步驟（針對系統盤 C:，必須為 NTFS）
- 「電腦」→ 右鍵 C 槽 → 內容 → 配額 索引標籤。
- 點選「顯示配額設定」。
- 勾選：「啟用配額管理」、「拒絕超過配額限制的使用者寫入磁碟空間」。
- 選「限制磁碟空間」 → 設定 10 KB（或極小值）。
- 確定套用。
效果與限制
- 管理員帳戶不受限制（配額預設不限制管理員群組）。
- 系統服務、Windows Update、正常軟體安裝（以 SYSTEM/TrustedInstaller/管理員執行）不受影響。
- 遠端桌面、共用資料夾寫入（若使用非管理員帳戶）將被拒絕。
- **非萬全之策**：駭客若提權至 SYSTEM/Administrator 即可繞過。需搭配強密碼、防火牆、修補程式、最小權限原則綜合防禦。
適用場景
- 公開電腦、教室電腦、伺服器公開分享資料夾、高風險環境。
- 配合「軟體限制原則/AppLocker 只允許白名單執行」雙重防護。
