Windows XP Windows 7 Windows 2003 Windows Vista Windows 綜合教學 Linux 系統教學
Windows 10 Windows 8 Windows 2008 Windows NT Windows Server 電腦軟體教學
您现在的位置： Windows教程網 >> Windows教程 >  >> Windows Server 系統教學 >> Windows Server 常見問題解答

Windows Server 2003 非同尋常的安全設定：C 槽根目錄與系統資料夾 NTFS 權限精細鎖定實戰

編輯：Windows Server 常見問題解答

Windows Server 2003 預設 NTFS 權限過於寬鬆，駭客取得低權限帳號後易透過寫入系統目錄提權或植入後門。本文提供一套經實戰驗證的 C 槽根目錄與關鍵系統資料夾權限精細鎖定清單，實現「最小權限原則」的深度防禦。

核心原則

  • 移除 Everyone、Users 等低權限群組對系統關鍵目錄的寫入/修改權限
  • 保留 Administrators、SYSTEM、TrustedInstaller 完整控制
  • 應用程式必要目錄 (如 AppPatch, Driver Cache\i386) 精準授予 Users 讀取/執行
  • 日誌、暫存、上傳目錄授予特定服務帳號 (IIS_WPG, NETWORK SERVICE) 寫入權限

關鍵目錄權限設定對照表 (節錄重點)

目錄路徑操作動作說明
C:\WINDOWS\Application Compatibility Scripts不修改含子目錄
C:\WINDOWS\AppPatchAcWebSvc.dll 保留 Users 讀取，其餘檔案加入 Users 讀取相容性修補程式需求
C:\WINDOWS\Connection Wizard移除 Users 群組權限連線精靈，伺服器無需
C:\WINDOWS\Debug\UserMode移除 Users，授予特定權限 (寫入檔案)Dr. Watson 錯誤報告寫入
C:\WINDOWS\Debug\WPD保留 Authenticated Users 寫入/建立目錄裝置安裝日誌
C:\WINDOWS\Driver Cache\i386移除 Users 目錄權限，但授予 i386 內所有檔案 Users 讀取驅動程式安裝需讀取
C:\WINDOWS\Help移除 Users 群組權限說明文件，伺服器無需
C:\WINDOWS\IIS Temporary Compressed Files預設不修改IIS 壓縮快取
C:\WINDOWS\Installer移除 Everyone，授予目錄下檔案 Everyone 讀取/執行MSI 安裝程式快取
C:\WINDOWS\java移除 Users 目錄權限，授予子目錄檔案 Users 讀取Java 虛擬機器
C:\WINDOWS\Microsoft.NET不修改 (含子目錄).NET Framework 核心
C:\WINDOWS\PCHEALTH\ERRORREP\QHEADLES移除 Everyone 權限錯誤回報佇列
C:\WINDOWS\PCHEALTH\ERRORREP\QSIGNOFF移除 Everyone 權限錯誤回報佇列
C:\WINDOWS\PCHealth\UploadLB移除 Everyone，子目錄無 Users/Everyone 即不處理錯誤回報上傳
C:\WINDOWS\PCHealth\HelpCtr移除 Everyone，無需加入 Users說明中心
C:\WINDOWS\PolicyBackup預設不修改，授予子目錄檔案 Users 讀取群組原則備份

操作技巧與工具

  • 無法移除繼承權限時：「進階」→ 取消勾選「允許繼承自父代的權限傳播」→ 複製/移除
  • 批量設定檔案權限：xcacls、icacls (Server 2003 SP2+ 內建) 或 SetACL 第三方工具
  • 設定完成後執行 secedit /refreshpolicy machine_policy 強制重新套用

驗證與副作用排查

  1. 以一般使用者登入測試：啟動常用服務 (IIS、MSSQL、檔案共享)、執行常用應用程式
  2. 啟用「失敗稽核」：本地安全性原則 → 稽核原則 → 「稽核物件存取」→ 失敗，事件檢視器監控存取被拒事件
  3. 常見問題：ASP.NET 應用程式無法啟動 → 檢查 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files 權限

結語

這份權限清單是數百台伺服器實戰提煉的成果。權限鎖定雖繁瑣，但能有效阻斷駭客利用系統目錄寫入提權、植入 Webshell、替換系統檔案等攻擊鏈。建議配合「安全設定精靈」 (SCW) 或 GPO 部署至多台伺服器。

Windows Server 常見問題解答
Windows Server 2012 部署 Active Directory 網域控制站完整教學 Windows Server 2012 部署 Active Directory 網域控制站完整教學
Server 2008 IIS 快速修復：ASP.NET 版本衝突導致網頁報錯的三步解決法 Server 2008 IIS 快速修復：ASP.NET 版本衝突導致網頁報錯的三步解決法
Windows Server 2012 作為桌面作業系統的優化指南 Windows Server 2012 作為桌面作業系統的優化指南
  • Windows Server 常見問題解答
  • Server 2000
  • Server 2003
  • Server 2008
  • Windows Server 教學

    • Windows Server 2008 共享存取錯誤 0x80070035 找不到網路路徑完整解決方案

    Windows Server 2012 遷移關鍵步驟與最佳實務

    解決 Windows Server 2012 安裝 .NET Framework 提示找不到來源檔案

    Windows Server 2003 IIS 6.0 安全性強化完整指南 (五部曲之壹)

    Windows Server 2008 PXE 與 WDS 共存部署與切換實戰指南

    Windows Server 2012 R2 透過 IIS 實現 AD 帳號密碼自助修改：完整部署指南

    Windows Server 2012 安裝 .NET Framework 找不到來源檔案的解決方案

    Windows Server Core 加入網域與退出網域完整操作指南

    Copyright © Windows教程網 All Rights Reserved