Windows 帳號權限設定深度解析：從預設權限到 Web 伺服器實戰防護

NTFS 權限是伺服器防禦最後一道防線。本文以模擬入侵實戰，示範預設權限如何導致淪陷，並給出最小權限原則下的強化配置。

預設權限的致命弱點

• 所有磁碟根目錄預設給 Everyone 完全控制，任何進入系統的使用者（含匿名 IIS 使用者 IUSR 隸屬 Guests）皆可為所欲為。
• 系統目錄 Documents and Settings、Program Files、Winnt 雖有限制，但 Power Users 擁有完全控制，權限過高。
• 非系統磁碟所有目錄繼承根目錄 Everyone 完全控制，等於零防護。

模擬入侵路徑

1. 發現動網論壇上傳漏洞，上傳 ASP 殭屍程式取得 WebShell。
2. 防火牆封鎖 1433，透過殭屍程式殺掉防毒/防火牆進程，開放 1433。
3. 讀取 conn.asp 取得 SQL 帳密，或修改 ServUDaemon.ini，或本地溢出 Serv-U，最終加入 Administrators 群組拿到系統最高權限。

最小權限強化配置（實戰可用）

• 所有磁碟根目錄、Documents and Settings、Program Files：僅 Administrators 完全控制（或直接刪除 Program Files）。
• 系統磁碟根目錄：額外給 Everyone 讀取/寫入（因虛擬記憶體預設在系統盤，缺此權限會報錯「虛擬記憶體不足」）。
• 網站目錄（如 E:\www）：給 Everyone 讀取/寫入（ASP 由 IIS 解釋執行，不需「執行」權限）。
• cmd.exe：僅 Administrators 完全控制，防止命令列提權。

核心原則：最少服務 + 最小權限 = 最大安全。非必要服務不安裝，權限按「夠用」分配。