動網論壇漏洞、SQL注入、WebShell讓防火牆形同虛設。唯有徹底搞懂NTFS權限體系，在文件系統層面落實最小權限，才能在應用層失陷時守住最後防線。本文系統講解權限模型、用戶組體系、權限層級，並給出生產級Web服務器磁盤規劃與權限配置藍圖。

權限模型基石：主體-客體-訪問控制項

• 主體：用戶、組、進程（服務賬號）
• 客體：文件、文件夾、註冊表鍵值、打印機等受保護對象
• ACE（訪問控制項）：允許/拒絕 + 權限掩碼 + 繼承標誌，組成ACL（訪問控制列表）
• DACL vs SACL：酌情訪問控制列表（權限控制） vs 系統審計控制列表（審計日志）

內建用戶組權限層級圖譜

組別	權限定位	典型成員	核心能力
Administrators	最高	Administrator、Domain Admins	系統完全控制、修改安全策略、安裝驅動、管理服務
Power Users	次高	高級操作員	修改機器級設置、安裝部分程式、管理本地用戶組、無法提升至Admin
Users	基線	標準用戶	運行認證應用、無法修改系統文件/註冊表/程式文件、最安全運行環境
Guests	受限	Guest、臨時賬號	類Users但限制更多、默認禁用
SYSTEM	核心	僅SYSTEM	內核級權限、服務運行上下文、高於Administrators、不可加入用戶
Everyone	全體	所有認證/匿名用戶	網絡訪問基準、默認含Anonymous Logon（早期版本）

七大標準權限層級與繼承邏輯

1. 完全控制（F）：所有權限 + 更改權限 + 取得所有權
2. 修改（M）：讀取和執行 + 列出內容 + 讀取 + 寫入 + 刪除
3. 讀取和執行（RX）：列出內容 + 讀取 + 遍歷執行
4. 列出文件夾內容（L）：僅遍歷目錄結構，不可讀文件內容
5. 讀取（R）：讀取文件內容/屬性
6. 寫入（W）：創建文件/寫入數據/追加
7. 特殊權限：64位權限掩碼精細組合（如：刪除子項、更改所有者、同步化等）

繼承規則：子物體默認繼承父ACE（Object Inherit + Container Inherit），可「停用繼承」並選擇「轉換為顯式」或「移除」。

關鍵賬號安全基線

• Administrator：必須重命名（如SvcAdmin01）、設置15位以上複雜密碼、禁用或僅緊急使用、日常運維用獨立域管賬號。
• Guest：保持禁用，無業務必要勿啟用。
• 服務賬號：每服務專用賬號（如svc_sql、svc_iis、svc_ftp），密碼定期輪換（gMSA最佳）、最小權限原則、SPN註冊。

生產級Web服務器磁盤與權限規劃藍圖

卷/掛載點	用途	關鍵權限設置（DACL精簡）
C: (系統卷)	OS、驅動、頁面文件、系統日志	SYSTEM:F, Administrators:F, TrustedInstaller:F, Users:RX, 移除Everyone
D: (軟件卷)	IIS、SQL Server、FTP服務端、殺毒/防火牆Agent	SYSTEM:F, Administrators:F, svc_iis:RX (IIS目錄), svc_sql:RX (SQL目錄), Users:RX
E: (Web內容卷)	網站程式碼、靜態資源（E:\WWW）	SYSTEM:F, Administrators:F, svc_iis:RX, 開發組:RWX (特定發布目錄), 匿名用戶:無直接權限
F: (數據卷)	數據庫文件、上傳文件、日志（F:\WWWDATABASE）	SYSTEM:F, Administrators:F, svc_sql:RW (數據/日志), svc_iis:RW (上傳目錄), 禁止執行權限

關鍵加固細節

• IIS應用池標識：使用ApplicationPoolIdentity（虛擬賬號IIS AppPool\PoolName），而非NetworkService/IUSR，實現應用池級隔離。
• 上傳目錄執行權限移除：NTFS權限不給「讀取和執行」，IIS處理程序映射移除腳本引擎，雙重防WebShell落地執行。
• 非默認路徑安裝所有服務：D:\Svc\IIS、D:\Svc\SQL、D:\Svc\FTP\ServU，增加攻擊者偵察成本。
• 審計關鍵操作：F卷數據目錄審計「寫入/刪除/權限變更」，C卷系統目錄審計「權限變更/所有權變更」。

下篇將實戰演示：動網論壇目錄權限鎖定、SQL Server服務賬號最小權限配置、FTP隔離存儲權限模型、防火牆規則與權限聯動。