Windows NTFS 權限設定詳解：用戶組、權限層級、Web 伺服器安全實務

NTFS 權限是 Windows 安全基石。Web 伺服器即使修補所有補丁、僅開 80 埠，若權限設定不當，仍易遭 WebShell 入侵。正確權限配置能有效阻擋提權與橫向移動。

核心用戶組與權限

• Administrators：完全控制，僅受信任人員。
• Power Users：修改系統設定、安裝軟體，不可加入 Administrators。
• Users：執行驗證應用程式，不可修改系統/程式檔、註冊表，最安全執行環境。
• Guests：權限同 Users 但限制更多。
• Everyone：所有用戶含 Guest。
• SYSTEM：核心服務帳號，權限最高，不可登入、不可加入其他組。

權限層級 (由高到低)

1. 完全控制：含所有下層權限。
2. 修改：讀取、執行、寫入、刪除、列出資料夾。
3. 讀取與執行：讀取、執行、列出資料夾。
4. 列出資料夾內容：僅瀏覽子目錄。
5. 讀取：讀取資料。
6. 寫入：寫入資料。
7. 特殊權限：細部自訂。

Web 伺服器權限實務原則

• 網站根目錄：IIS_IUSRS / IUSR 僅給「讀取與執行」、「列出資料夾」；上傳目錄單獨給「寫入」；執行目錄移除「執行」權限防腳本執行。
• 系統目錄 (Windows、Program Files)：移除 Users 寫入/修改，僅保留「讀取與執行」。
• 匿名用戶 (IUSR) 不可為 Administrators 成員。
• 應用程式池身分 (ApplicationPoolIdentity) 採最小權限原則。

日常操作建議使用標準用戶 (Users 組)，需管理權限時用 UAC 提權或 Run as Administrator，大幅降低木馬/病毒破壞範圍。