Windows 軟體限制原則 權限分配與繼承機制深度解析

前提假設：使用者為管理員身分。理解權限繼承機制，才能精準設計規則達到預期防護效果。

核心原則：最低權限原則

程式最終權限 = 父進程權限 與 規則限定權限 兩者的最低等級。

繼承範例

實戰應用：IE 降權防網馬

將 IE 設為「基本使用者」啟動 → IE 下載/執行的任何程式權限皆不超過「基本使用者」 → 即使執行病毒，因權限不足無法修改系統關鍵區域 → 重開機後病毒僅剩屍體。再配合 NTFS 權限讓 IE 無寫入權限，徹底杜絕病毒落地。

NTFS 權限對照（節錄）

• 遍歷資料夾/執行檔案：無此權限無法啟動程式
• 列出資料夾/讀取資料：查看檔名/子資料夾名
• 讀取屬性/擴充屬性：檢視檔案/資料夾屬性
• 建立檔案/寫入資料：資料夾建檔/檔案修改覆寫
• 建立資料夾/附加資料：建立子資料夾/檔案末端追加
• 寫入屬性/擴充屬性：修改檔案/資料夾屬性
• 刪除子資料夾與檔案 / 刪除：刪除權限
• 讀取/變更/取得權限/所有權：ACL 控制權限

預設 NTFS 權限下的使用者組對應

• 系統預設：基本使用者 ≈ NTFS Users 組權限
• 基本使用者對 Windows/Program Files：僅有「遍歷/執行」「列出/讀取」「讀取屬性」「讀取權限」四項
• 對 Documents and Settings：自身目錄完全控制，其他目錄唯讀
• 「受限使用者」受限更嚴格，無論 NTFS 權限如何皆受規則限制

掌握此機制，即能設計出「權限遞減鏈」，層層收緊攻擊面。