NTFS权限分析和应用.pdfVIP

NTFS 权限分析与应用 写在前面：鉴于文章较为冗长，急于直接了解NTFS 权限相关问题的读者可以直接跳到 章节六。然而我仍建议有时间的读者将前面的一些基础章节也阅读一番。 “NTFS权限”，鉴于NTFS 已经与我们亲密接触了如此长的时间，这个话题可以算是老 生常谈了。然而在NT6.x 大幅度改进了系统安全性后，作为安全重要环节的NTFS 权限就不 再是远离用户应用的技术。在实践中，部分用户由于特殊的应用需求可能需要对个别受保护 的系统文件进行更改，不少用户可能会遇到NTFS 权限设置错误导致的异常，而NTFS 权限与 UAC 的结合也为我们的应用带来了更多可能性。要在不损害系统安全性的前提下实现我们的 应用目标，就需要对NTFS 权限的内容与配置方法有个初步的了解。是而为此文。 严格的说，NTFS 权限的正式称谓是ACL （访问控制列表），因而在下文的陈述中也会 逐步的引入ACL 的概念。同时由于ACL 广泛应用于系统权限控制中，因而本文所陈述的内容 虽以NTFS 权限为主，但可以类推于其他具备ACL 特性的情景中，如注册表。 一、谈论 ACL 时不得不说的话题——用户与组 权限设置，必然是为授予某一群体对对象的访问权而设立，而用户与组正是这被授权 的群体。用户是授予权限的最小单位，而组可以视作是用户的集合。用户与组都使用SID 作为其唯一标识符。比起活动目录域中域本地组、全局组、通用组及其嵌套、转换所带来的 多彩缤纷的应用相比，单机环境下的用户与组要简单得多。这里主要介绍一些具备特殊功能 定位的用户与组。 Administrator：用户。所谓 “超级管理员”，默认禁用。在系统默认的安全策略下， 其不受UAC 约束且将以管理员身份运行任何程序。鉴于这一特性将严重降低系统安全性，不 建议将其启用。 Guest：用户。来宾帐户，默认禁用。相较于普通用户帐户，来宾帐户受到更多限制。 在于 “控制面板\用户帐户和家庭安全\用户帐户\管理帐户”中启用来宾帐户后，此帐户也 将被启用。 HomeGroupUser$：用户。家庭组用户帐户。用于实现家庭组简化的、安全的共享功 能。在创建家庭组后，此帐户将被创建及启用。 TrustedInstaller：特殊用户。可信任的安装程序，实质上其指代的是一种特殊的 服务，与Windows Modules Installer 服务关系很大。可通过直接输入名称 NTSERVICE\TrustedInstaller 将其添加到ACL 中。 Administrators：组。所有管理员帐户都是Administrators 组的成员。在ACL 中， 针对管理员的权限设置，通常使用Administrators 组进行分配。注意在UAC 启用的情况下， 非经提权，仅有Administrators 组的拒绝权限会应用到普通管理员。 Users：组。所有用户帐户都是Users 组的成员。在ACL 中，针对用户的权限设置， 通常使用Users 组进行分配。 HomeUsers：组。在ACL 中，针对家庭组的权限设置，通常使用HomeUsers 组进行分 配。 Authenticated Users：特殊组。是所有在本系统或域内有合法账户的用户的集合。 Everyone：特殊组。顾名思义，所有用户的集合，无论其是否拥有有合法账户。 Creator Owner：特殊组。创建对象或目前是对象所有者的用户的集合。实质上此组 的作用是：当它存在于ACL 中时，将同时将所有者用户帐户以设定的权限添加进ACL。 Owner Rights：特殊组。此组的作用主要在于限制对象所有者隐性的查看、更改ACL 的权限。 SYSTEM：特殊组。本地系统。相当多的服务使用此身份运行，如Windows Search 。 二、可以做什么？——可以分配的权限 事实上当ACL 被应用于不同的场景时，其有不同的权限可供分配。这里仅介绍基于NTFS 的ACL 权限分配可选项。 从类型上看，权限包括标准权限与特定权限。标准权限是由指定的特定权限与指定的 作用域组成的。 基于NTFS 的ACL 中，标准权限有： 完全控制（完全控制+遍历文件夹/执行文件+列出文件夹/读取数据+读取属性+读取扩 展属性+创建文件/写入数据+创建文件夹/附加数据+写