預設權限架構說明

Windows 2000 安裝時依據安全範本為各系統目錄建立預設 ACL。下表為標準安裝的完整權限對照（boot partition = 系統啟動分區，root partition = 系統根分區，通常相同）。

核心目錄權限總表

目錄路徑	Administrators	Creator/Owner	Everyone	System	Server Operators	其他
根目錄 (\\)	FC	FC	Change	FC
\Msapps 及子目錄	FC	FC	Change	FC	Change
\Program Files 及子目錄	FC	FC	Change	FC	Change
\Temp	FC	FC	Change	FC
\Users	Special(RWXD)		List(RX)	FC
\Users\Default		FC	Special(RWX)	FC
\Win32app	FC	FC	Read(RX)	FC	FC
%SystemRoot%	FC	FC	Change	FC	Change
%SystemRoot%\Config	FC	FC	Change	FC	Change
%SystemRoot%\Cookies	FC	FC	Change	FC	Change
%SystemRoot%\Cursors	FC	FC	Change	FC	Change
%SystemRoot%\Desktop	FC	FC	Change	FC	Change
%SystemRoot%\Fonts	FC	FC	Change	FC	Change
%SystemRoot%\Help	FC	FC	Change	FC	Change
%SystemRoot%\History	FC	FC	Change	FC	Change
%SystemRoot%\Inf	FC	FC	Change	FC	Change
%SystemRoot%\Java 及子目錄	FC	FC	Change	FC	Change
%SystemRoot%\Media	FC	FC	Change	FC	Change
%SystemRoot%\Nwspool	FC	FC	Change	FC	Change
%SystemRoot%\Profiles	FC	FC	Change	FC	Change
%SystemRoot%\Profiles\Administrators	FC			FC
%SystemRoot%\Profiles\All Users 及子目錄	FC		Read	FC
%SystemRoot%\Profiles\Default User 及子目錄	FC		Read	FC
%SystemRoot%\Profiles\用戶名 及子目錄	FC			FC		該用戶 FC
%SystemRoot%\Repair	FC	FC	Read	FC	FC
%SystemRoot%\Shellnew	FC	FC	Change	FC	Change
%SystemRoot%\System	FC	FC	Change	FC	Change
%SystemRoot%\System32	FC	FC	Change	FC	Change
%SystemRoot%\System32\Cache	FC	FC	Change	FC	Change
%SystemRoot%\System32\Dhcp	FC	FC	Read(RX)	FC	FC
%SystemRoot%\System32\Drivers 及子目錄	FC	FC	Read(RX)	FC	FC
%SystemRoot%\System32\Inetsrv 及子目錄	FC	FC	Change	FC	Change
%SystemRoot%\System32\Lls	FC	FC	Change	FC	Change
%SystemRoot%\System32\Logfiles	FC	FC	Change	FC	Change
%SystemRoot%\System32\Netmon 及子目錄	FC	FC	Change	FC	Change
%SystemRoot%\System32\Os2 及子目錄	FC	FC	Change	FC	Change
%SystemRoot%\System32\Ras	FC	FC	Change(RWXD)	FC	FC
%SystemRoot%\System32\Repl	FC	FC	Read(RX)	FC	FC
%SystemRoot%\System32\Repl\Export 及子目錄	FC	FC	Read(RX)	FC	Change(RWXD)	Replicator Change(RWXD)
%SystemRoot%\System32\Repl\Import 及子目錄	FC	FC	Read(RX)	FC	Change(RWXD)	Replicator Change(RWXD)
%SystemRoot%\System32\Spool 及子目錄	FC	FC	Read(RX)	FC	FC	Print Operators FC
%SystemRoot%\System32\Viewers	FC	FC	Change	FC	Change

權限代碼對照

• FC = Full Control (完全控制)
• Change = Modify (讀寫刪除，不可改權限)
• Read (RX) = Read & Execute (讀取與執行)
• List (RX) = List Folder/Read Data (列出資料夾/讀取資料)
• Special = 特殊權限組合 (括號內註明具體權限)
• RWXD = Read/Write/eXecute/Delete

安全建議

1. 移除 Everyone 的 Change/Write 權限 於關鍵系統目錄 (System32、Drivers、Config、Repair 等)
2. cmd.exe、regedit.exe、at.exe 等敏感執行檔 僅保留 Administrators + System
3. 使用 cacls/xcacls/icacls 腳本化套用標準化 ACL
4. 定期比對實際 ACL 與基準表，偵測未授權變更

結語

熟悉預設權限，才能精準硬化。此表為 Windows 2000 經典參考，WinXP/2003 類似但細節不同，請以實際環境為準並建立組織專屬基準線。