防火牆、修補程式都可能失效，NTFS 權限是最後一道防線。搞懂群組權限、檔案系統 ACL、分區規劃，才能在 Web Shell 入侵時將損失降至最低。

Windows 使用者群組權限階層

群組	預設權限	說明
Administrators	完全控制 (系統無限制)	僅受信任人員，建議重命名/停用內建 Administrator、建立欺騙帳號
Power Users	修改系統設定、安裝程式、無法加入 Administrators	次高權限，舊版應用相容性用
Users	執行驗證應用、無法修改系統/程式檔、註冊表	最安全日常環境，NTFS 預設 ACL 保護系統完整性
Guests	同 Users 但限制更多，預設停用	保持停用
SYSTEM	核心服務專用，最高權限，不顯示於群組清單	勿手動修改

NTFS 七種基本權限

• 完全控制 (含修改、讀取、寫入、列出、刪除、變更權限、取得擁有權)
• 修改 (讀取、寫入、刪除、列出)
• 讀取與執行 (讀取、列出、走捷徑執行)
• 列出資料夾內容
• 讀取
• 寫入
• 特殊權限 (細粒度自訂)

權限繼承：子物件預設繼承父資料夾 ACL，可中斷繼承並複製/移除特定 ACE。

安全 Web 伺服器分區佈署範例

分區	用途	建議 ACL (關鍵)
C: 系統	OS、驅動程式	Administrators:完全控制、SYSTEM:完全控制、Users:讀取與執行
D: 軟體	應用程式 (IIS, SQL, AV, FW, Serv-U)	安裝時以管理員身分、執行身分用專用服務帳號 (非 Administrator)
E: Web 程式	網站程式碼 WWW	Web 匿名用戶 (IUSR_*) : 讀取與執行、開發帳號:修改、寫入僅限上傳目錄
F: 資料	資料庫檔 WWWDATABASE	SQL 服務帳號:修改、其餘:無存取

關鍵強化細節

• 服務安裝路徑非預設 (如 d:\ms-sqlserver2K)，增加攻擊者偵察成本。
• FTP (Serv-U) 根目錄指向專用資料夾，設定磁碟配額、IP 限制、強制 SSL。
• 防火牆僅開 80/443 (Web)、21 (FTP)、1433 (SQL 僅內網)。
• SQL sa 帳號強密碼 + SP3 修補、停用 xp_cmdshell、啟用稽核。

模擬攻擊：Web Shell 入侵後的權限阻斷

1. 攻擊者利用動網論壇上傳漏洞植入 ASP Web Shell，取得 IUSR_* 或 IWAM_* 權限。
2. 嘗試提權：掃描本地提權漏洞、竊取 SAM、啟動服務 → 因非 Administrators 群組、服務 ACL 已硬化 (Everyone 唯讀) 而失敗。
3. 嘗試讀取資料庫：F 分區 ACL 僅允許 SQL 服務帳號，Web 匿名用戶無權 → 失敗。
4. 嘗試寫入系統目錄/植入啟動項：C/D 分區 ACL 拒絕寫入、Run 鍵值 ACL 僅讀 → 失敗。
5. 結果：攻擊者困於低權限 Web 目錄，無法橫向移動、無法持久化、無法觸及核心資料。

權限配置正確，Web Shell 只是「受限的命令列」，而非跳板。定期用 cacls/icacls 或 PowerShell 稽核關鍵 ACL 偏移。