Windows Server 2003 NTFS 權限實戰：從預設權限到建立安全 Web 伺服器防線

NTFS 權限是 Windows 伺服器最後一道防線。即使打上所有補丁、僅開放 80 埠，若 NTFS 權限設定不當，WebShell 仍可導致系統淪陷。本文從用戶群組權限模型、DOS vs NTFS 差異、實戰攻擊模擬、最小權限部署四大面向，建構纏深防禦體系。

一、Windows 權限模型核心觀念

• **一切權限基於「使用者」與「程序」**：不同身分登入/執行，擁有不同存取權杖 (Access Token)。
• **DOS vs NTFS**：DOS 為單一使用者/單一工作，無權限控制 (啟動即擁有完全控制)。NTFS 引入 ACL (存取控制清單)，支援精細權限。
• **群組預設權限 (由高至低)**：
  Administrators：完全控制系統。
  Power Users：修改電腦設定、安裝程式，不可加入 Administrators。
  Users：執行通過驗證的應用程式，不可修改系統/登錄/程式檔案，**最安全執行環境**。
  Guests：權限同 Users 但限制更多。
  Everyone：包含所有使用者 (含 Guest、匿名)。
  SYSTEM：核心/服務專用，權限等同或高於 Administrators，不可加入使用者。

二、Web 伺服器常見帳戶與權限對照

三、實戰攻擊模擬：從 WebShell 到系統控制

1. 取得 WebShell：利用動網論壇上傳漏洞上傳 ASP 木馬，繞過防火牆 (僅開 80 埠)。
2. 環境偵察：木馬顯示執行身分 IUSR_* (Guests)，嘗試 net user、dir c: 皆失敗 (存取被拒)。
3. 嘗試提權：
   WSCRIPT.Shell 被禁用。
   上傳 cmd.exe 受 200KB 限制。
   Serv-U 溢出失敗 (已修補)。
4. 關鍵轉折：發現 config.aspx，確認 ASP.NET 執行身分為 ASPNET (Users 群組)。上傳 ASPX 後門，成功執行 cmd.exe、net user、建立管理員帳戶、開啟終端機服務、掛載後門。

**結論**：管理員僅降低 IUSR_* 權限卻忽略 ASPNET，導致防線潰決。權限設定必須**全面覆蓋所有執行身分**。

四、最小權限部署清單 (Web 伺服器)

五、進階防護措施

• 軟體限制原則 / AppLocker：僅允許簽署/白名單執行檔，阻擋 cmd.exe、cscript.exe、powershell.exe 非預期執行。
• URLScan / Request Filtering (IIS 7+)：封鎖可疑副檔名、雙重編碼、過長 URL、SQL 關鍵字。
• 防火牆出站規則：Web 伺服器**禁止主動對外連線** (僅允許回應已建立連線)，防止反向 Shell、資料外洩。
• 稽核與監控：啟用「稽核物件存取」失敗事件、檔案完整性監控 (FIM)、WAF/IDS 偵測 Web 攻擊特徵。
• 定期滲透測試：驗證權限設定有效性、發現新攻擊面。

六、權限設定操作步驟 (GUI)

1. 右鍵資料夾/檔案 →「內容」→「安全性」索引標籤。
2. 「進階」→ 取消「繼承自父物件的可繼承權限」→「複製」/「移除」。
3. 「新增」→ 輸入帳戶/群組 → 設定允許/拒絕權限 (完全控制/修改/讀取與執行/列出資料夾內容/讀取/寫入/特殊權限)。
4. 「套用」→ 確認「取代子物件權限」依需求勾選。

NTFS 權限非一次設定完成，需隨著應用變更、人員異動持續審視。建立「最小權限、拒絕預設、稽核追蹤、自動化驗證」的權限管理文化，才是 Web 伺服器安全的根本保障。