Windows NTFS 權限設定深度解析：從用戶組到 Web 伺服器實戰佈署

面對 WebShell、SQL Injection、ARP 攻擊等層出不窮的伺服器入侵手段，單靠防火牆與修補漏洞已不足夠。徹底掌握 NTFS 權限機制，建立最小權限原則的檔案系統存取控制，才是伺服器倖存的最後一道鋼鐵防線。

一、 Windows 權限模型基礎：用戶與群組

Windows 為多用戶、多任務作業系統，所有權限控制基於「主體」（用戶/群組/進程）對「客體」（檔案/資料夾/登錄機碼/印表機等）的存取權限。

核心內建群組與權限層級

特殊身分識別

• Interactive：本地登入用戶
• Network：透過網路存取用戶
• Creator Owner：資源建立者（若為 Administrators 成員則歸屬該群組）
• Anonymous Logon：未驗證匿名連線（Win2003 中不包含於 Everyone）

二、 NTFS 六大標準權限與特殊權限

右鍵 NTFS 磁碟/資料夾 → 「內容」→「安全性」頁籤可見：

1. 完全控制：包含所有權限，等同 Administrators 地位。勾選後自動勾選下五項。
2. 修改：讀取、寫入、刪除、執行。等同 Power Users。勾選後自動勾選下四項。
3. 讀取與執行：瀏覽資料夾、讀取檔案、執行程式。需「列出資料夾內容」+「讀取」。
4. 列出資料夾內容：僅能瀏覽子目錄名稱，不可讀取檔案內容。
5. 讀取：讀取檔案資料與屬性。
6. 寫入：建立檔案/資料夾、寫入資料、修改屬性。

特殊權限：將上述六項進一步細分為 14 項進階權限（如：遍歷資料夾/執行檔案、列出資料夾/讀取資料、讀取屬性/擴充屬性、建立檔案/資料夾、寫入屬性/擴充屬性、刪除、刪除子目錄與檔案、讀取/變更權限、取得擁有權、同步等），支援極精細的存取控制。

三、 權限繼承與顯式拒絕機制

• 繼承： 子物件預設繼承父物件權限（可取消繼承並選擇「複製」或「移除」）。
• 顯式拒絕優先： 任何「拒絕」項目優先於所有「允許」項目，即使上層允許、下層拒絕，結果為拒絕。此特性可建立「安全屏障」阻擋權限向下傳遞。
• 權限疊加原則： 同一用戶屬於多個群組時，最終權限為所有允許權限聯集減去拒絕權限。若同群組內有允許與拒絕衝突，拒絕勝出。

四、 實戰案例：Web 伺服器 NTFS 權限佈署藍圖

環境規劃

• 作業系統：Windows 2000 Server + SP4 + 所有修補程式
• Web 服務：IIS 5.0（移除非必要映射）
• 資料庫：MS-SQL 2000 SP3（SA 強密碼，安裝於 D:\MS-SQL\Server2K）
• FTP：Serv-U 5.1（D:\FTP\Service\Serv-U）
• 防毒/防火牆：Norton AV / BlackICE（僅開放 80/21 埠）
• 論壇：動網 7.0（E:\WWW\BBS）

磁碟分區與權限策略

關鍵安全原則

1. 非預設安裝路徑： 所有服務軟體安裝至非預設路徑，增加攻擊者猜測成本。
2. 最小權限原則： 匿名網路用戶（IUSR/IWAM）僅獲「讀取與執行」，上傳目錄單獨授予「寫入」，資料庫檔案完全隔離網路存取。
3. 拒絕優先建立屏障： 於 E:\WWW\BBS\UPLOAD 等上傳目錄對 Users 群組顯式「拒絕 執行/腳本執行」權限，防止上傳 ASP/PHP 木馬被解析執行。
4. 審核啟用： 對關鍵目錄啟用「失敗存取」審核，記錄未經授權嘗試。

五、 模擬攻擊驗證防禦成效

假設攻擊者利用動網上傳漏洞取得 WebShell，嘗試執行 cmd.exe、存取 C:\、連接 SQL 埠：

• WebShell 執行身分為 IUSR_<機器名>，僅具 E:\WWW 讀取/執行權，無法存取 C:/D:/F:。
• 上傳目錄雖有寫入權，但「拒絕 執行」生效，ASP 木馬無法被 IIS 解析執行。
• SQL 連接埠被防火牆封鎖，WebShell 即使有連接字串也無法連線資料庫。
• 嘗試提權利用系統漏洞：缺乏寫入系統目錄權限，無法植入後門/修改登錄。

結論： 嚴格的 NTFS 權限佈署成功將入侵影響範圍限制在單一 Web 目錄內，保護核心系統與資料資產倖免於難。

六、 總結

NTFS 權限不是設定完即可高枕無憂，而是需要結合：
1. 合理磁碟分區隔離業務層級
2. 最小權限原則精細授權
3. 顯式拒絕建立關鍵屏障
4. 非預設路徑增加攻擊成本
5. 持續審核與日誌分析
才能構建真正纵深防禦體系。權限配置是伺服器安全的基石，亦是最後防線——請務必嚴肅對待。