Windows系統權限詳解

　　隨著動網論壇的廣泛應用和動網上傳漏洞的被發現以及SQL注入式攻擊越來越多的被使用，WEBSHELL讓防火牆形同虛設，一台即使打了所有微軟補丁、只讓80端口對外開放的WEB服務器也逃不過被黑的命運。難道我們真的無能為力了嗎？其實，只要你弄明白了NTFS系統下的權限設置問題，我們可以對crackers們說：NO!

　　要打造一台安全的WEB服務器，那麼這台服務器就一定要使用NTFS和Windows NT/2000/2003.眾所周知，Windows是一個支持多用戶、多任務的操作系統，這是權限設置的基礎，一切權限設置都是基於用戶和進程而言的，不同的用戶在訪問這台計算機時，將會有不同的權限。

　　DOS跟WinNT的權限的分別

　　DOS是個單任務、單用戶的操作系統。但是我們能說DOS沒有權限嗎？不能！當我們打開一台裝有DOS操作系統的計算機的時候，我們就擁有了這個操作系統的管理員權限，而且，這個權限無處不在。所以，我們只能說DOS不支持權限的設置，不能說它沒有權限。隨著人們安全意識的提高，權限設置隨著NTFS的發布誕生了。

　　Windows NT裡，用戶被分成許多組，組和組之間都有不同的權限，當然，一個組的用戶和用戶之間也可以有不同的權限。下面我們來談談NT中常見的用戶組。

　　Administrators,管理員組，默認情況下，Administrators中的用戶對計算機/域有不受限制的完全訪問權。分配給該組的默認權限允許對整個系統進行完全控制。所以，只有受信任的人員才可成為該組的成員。

　　Power Users,高級用戶組，Power Users 可以執行除了為 Administrators 組保留的任務外的其他任何操作系統任務。分配給 Power Users 組的默認權限允許 Power Users 組的成員修改整個計算機的設置。但Power Users 不具有將自己添加到 Administrators 組的權限。在權限設置中，這個組的權限是僅次於Administrators的。

　　Users:普通用戶組，這個組的用戶無法進行有意或無意的改動。因此，用戶可以運行經過驗證的應用程序，但不可以運行大多數舊版應用程序。 Users 組是最安全的組，因為分配給該組的默認權限不允許成員修改操作系統的設置或用戶資料。Users 組提供了一個最安全的程序運行環境。在經過 NTFS 格式化的卷上，默認安全設置旨在禁止該組的成員危及操作系統和已安裝程序的完整性。用戶不能修改系統注冊表設置、操作系統文件或程序文件。Users 可以關閉工作站，但不能關閉服務器。Users 可以創建本地組，但只能修改自己創建的本地組。

　　Guests:來賓組，按默認值，來賓跟普通Users的成員有同等訪問權，但來賓帳戶的限制更多。

　　Everyone:顧名思義，所有的用戶，這個計算機上的所有用戶都屬於這個組。

　　其實還有一個組也很常見，它擁有和Administrators一樣、甚至比其還高的權限，但是這個組不允許任何用戶的加入，在察看用戶組的時 候，它也不會被顯示出來，它就是SYSTEM組。系統和系統級的服務正常運行所需要的權限都是靠它賦予的。由於該組只有這一個用戶SYSTEM,也許把該 組歸為用戶的行列更為貼切。

　　權限的權力大小分析

　　權限是有高低之分的，有高權限的用戶可以對低權限的用戶進行操作，但除了Administrators之外，其他組的用戶不能訪問 NTFS 卷上的其他用戶資料，除非他們獲得了這些用戶的授權。而低權限的用戶無法對高權限的用戶進行任何操作。

　　我們平常使用計算機的過程當中不會感覺到有權限在阻撓你去做某件事情，這是因為我們在使用計算機的時候都用的是Administrators中 的用戶登陸的。這樣有利也有弊，利當然是你能去做你想做的任何一件事情而不會遇到權限的限制。弊就是以 Administrators 組成員的身份運行計算機將使系統容易受到特洛伊木馬、病毒及其他安全風險的威脅。訪問 Internet 站點或打開電子郵件附件的簡單行動都可能破壞系統。

　　不熟悉的 Internet 站點或電子郵件附件可能有特洛伊木馬代碼，這些代碼可以下載到 系統並被執行。如果以本地計算機的管理員身份登錄，特洛伊木馬可能使用管理訪問權重新格式化您的硬盤，造成不可估量的損失，所以在沒有必要的情況下，最好 不用Administrators中的用戶登陸。Administrators中有一個在系統安裝時就創建的默認用戶 ----Administrator,Administrator 帳戶具有對服務器的完全控制權限，並可以根據需要向用戶指派用戶權利和訪問控制權限。

　　因此強烈建議將此帳戶設置為使用強密碼。永遠也不可以從Administrators 組刪除 Administrator 帳戶，但可以重命名或禁用該帳戶。由於大家都知道"管理員"存在於許多版本的 Windows 上，所以重命名或禁用此帳戶將使惡意用戶嘗試並訪問該帳戶變得更為困難。對於一個好的服務器管理員來說，他們通常都會重命名或禁用此帳戶。Guests用 戶組下，也有一個默認用戶----Guest,但是在默認情況下，它是被禁用的。如果沒有特別必要，無須啟用此賬戶。