檔案伺服器權限配置完成後，最擔心其他管理員 (尤其是新手) 透過資源管理器「安全性」頁籤誤改權限，或透過檔案共享取得擁有權竊取機密資料。利用 shx32.dll ACL 控制可徹底隱藏該頁籤。

原理

Shell 擴充介面 shx32.dll 提供「安全性」頁籤功能。拒絕特定使用者存取此 DLL，即可使其在資源管理器中看不見安全性頁籤，無法透過 GUI 修改權限。

操作步驟

1. 預設 %systemroot%\system32\shx32.dll 權限：
   • BUILTIN\Administrators:F
   • Everyone:R
   • BUILTIN\Power Users:R
   • NT AUTHORITY\SYSTEM:F
   • BUILTIN\Users:R
2. 執行命令拒絕目標管理員 (例: Admin) 存取：

   cacls %systemroot%\system32\shx32.dll /d Admin

3. Admin 登入後，資源管理器檔案/資料夾內容將無「安全性」頁籤。
4. 進階防禦：同樣對 cacls.exe 設定拒絕，防止其複製 cacls 繞過限制 (但仍可從其他機器複製 cacls.exe 破解)。

適用場景

• 檔案伺服器僅提供共享/FTP 存取，僅核心管理員本地登入維護。
• 域中存在多管理員，需防止權限攀升與誤操作。

此技巧屬「防君子不防小人」，核心管理員仍可透過命令列 (cacls/xcacls) 管理權限，屬於管理介面層面的存取控制，非替代正規 NTFS 權限配置。