權限基礎：多使用者、多任務與 NTFS
Windows NT 核心支援多用戶/多任務，權限設定基於「使用者」與「進程」。NTFS 提供 ACL (存取控制清單) 實現精細權限控制，FAT/FAT32 不支援。
內建使用者群組與權限層級
| 群組 | 權限特徵 | 適用對象 |
|---|
| Administrators | 系統完全控制，無限制存取 | 受信任管理員 |
| Power Users | 可修改系統設定、安裝程式，不可提權至 Administrators | 高階用戶/開發人員 |
| Users | 僅能執行通過驗證的應用程式，不可修改系統/登錄/程式檔，最安全 | 一般日常使用者 |
| Guests | 權限同 Users 但限制更多 | 臨時訪客 |
| Everyone | 包含所有使用者 (含 Guest、匿名) | 公開資源 |
| SYSTEM | 核心/服務專用，權限等同或高於 Administrators，不可加入使用者 | 作業系統核心服務 |
權限大小與存取規則
- 高權限可操作低權限物件；低權限不可操作高權限物件。
- 非 Administrators 使用者預設無法存取其他用戶 NTFS 卷上資料，需明確授權。
- 日常使用建議以 Users 權限登入，降低木馬/病毒破壞風險 (Administrator 身分執行惡意碼可格式化硬碟)。
- 內建
Administrator 應設強密碼、重命名或停用；Guest 預設停用，無特殊需求勿啟用。
Web 伺服器防禦實務 (防 WebShell)
- 網站根目錄僅授予
IUSR_電腦名 / IIS AppPool\PoolName 「讀取與執行」、「列出資料夾內容」、「讀取」權限，嚴禁寫入/修改。
- 上傳目錄單獨授予「寫入」，但移除執行權限 (IIS 設定「腳本資源存取」關閉、副檔名對應移除 .asp/.php/.aspx)。
- 應用程式目錄 (bin、App_Code) 僅授予「讀取與執行」。
- 系統目錄 (
C:\Windows、C:\Program Files) 僅授予 SYSTEM、Administrators、TrustedInstaller。
- 啟用稽核：對「Everyone」審核「寫入/刪除」失敗事件，偵測異常寫入。
DOS vs NT 權限觀念差異
DOS 為單用戶/單任務，使用者即擁有最高權限，無權限設定機制。NTFS 引入 ACL 實現精細控制，是資安防禦基石。
copyright ©
萬盛學電腦網 all rights reserved