windows7操作系统ntfs的权限分析与实际应用(nt-6.x)

《windows7操作系统ntfs的权限分析与实际应用(nt-6.x)》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、写在前面：鉴于文章较为冗长，急于直接了解NTFS权限相关问题的读者可以直接跳到章节六。然而我仍建议有时间的读者将前面的一些基础章节也阅读一番。“NTFS权限”，鉴于NTFS已经与我们亲密接触了如此长的时间，这个话题可以算是老生常谈了。然而在NT6.x大幅度改进了系统安全性后，作为安全重要环节的NTFS权限就不再是远离用户应用的技术。在实践中，部分用户由于特殊的应用需求可能需要对个别受保护的系统文件进行更改，不少用户可能会遇到NTFS权限设置错误导致的异常，而NTFS权限与UAC的结合也为我们的应用带来了更多可能性。要在不损害系统安全性的前提下实现我们的应用目

2、标，就需要对NTFS权限的内容与配置方法有个初步的了解。是而为此文。严格的说，NTFS权限的正式称谓是ACL（访问控制列表），因而在下文的陈述中也会逐步的引入ACL的概念。同时由于ACL广泛应用于系统权限控制中，因而本文所陈述的内容虽以NTFS权限为主，但可以类推于其他具备ACL特性的情景中，如注册表。一、谈论ACL时不得不说的话题——用户与组权限设置，必然是为授予某一群体对对象的访问权而设立，而用户与组正是这被授权的群体。用户是授予权限的最小单位，而组可以视作是用户的集合。用户与组都使用SID作为其唯一标识符。比起活动目录域中域本地组、全局组、通用组及其嵌

3、套、转换所带来的多彩缤纷的应用相比，单机环境下的用户与组要简单得多。这里主要介绍一些具备特殊功能定位的用户与组。lAdministrator：用户。所谓“超级管理员”，默认禁用。在系统默认的安全策略下，其不受UAC约束且将以管理员身份运行任何程序。鉴于这一特性将严重降低系统安全性，不建议将其启用。lGuest：用户。来宾帐户，默认禁用。相较于普通用户帐户，来宾帐户受到更多限制。在于“控制面板用户帐户和家庭安全用户帐户管理帐户”中启用来宾帐户后，此帐户也将被启用。lHomeGroupUser$：用户。家庭组用户帐户。用于实现家庭组简化的、安全的共享功能。

4、在创建家庭组后，此帐户将被创建及启用。lTrustedInstaller：特殊用户。可信任的安装程序，实质上其指代的是一种特殊的服务，与WindowsModulesInstaller服务关系很大。可通过直接输入名称NTSERVICETrustedInstaller将其添加到ACL中。lAdministrators：组。所有管理员帐户都是Administrators组的成员。在ACL中，针对管理员的权限设置，通常使用Administrators组进行分配。注意在UAC启用的情况下，非经提权，仅有Administrators组的拒绝权限会应用到普通管理员。lU

5、sers：组。所有用户帐户都是Users组的成员。在ACL中，针对用户的权限设置，通常使用Users组进行分配。lHomeUsers：组。在ACL中，针对家庭组的权限设置，通常使用HomeUsers组进行分配。lAuthenticatedUsers：特殊组。是所有在本系统或域内有合法账户的用户的集合。lEveryone：特殊组。顾名思义，所有用户的集合，无论其是否拥有有合法账户。lCreatorOwner：特殊组。创建对象或目前是对象所有者的用户的集合。实质上此组的作用是：当它存在于ACL中时，将同时将所有者用户帐户以设定的权限添加进ACL。lOwnerRi

6、ghts：特殊组。此组的作用主要在于限制对象所有者隐性的查看、更改ACL的权限。lSYSTEM：特殊组。本地系统。相当多的服务使用此身份运行，如WindowsSearch。二、可以做什么？——可以分配的权限事实上当ACL被应用于不同的场景时，其有不同的权限可供分配。这里仅介绍基于NTFS的ACL权限分配可选项。从类型上看，权限包括标准权限与特定权限。标准权限是由指定的特定权限与指定的作用域组成的。基于NTFS的ACL中，标准权限有：l完全控制（完全控制+遍历文件夹/执行文件+列出文件夹/读取数据+读取属性+读取扩展属性+创建文件/写入数据+创建文件夹/附加数

7、据+写入属性+写入扩展属性+删除子文件夹及文件+删除+读取权限+更改权限+取得所有权）l修改（遍历文件夹/执行文件+列出文件夹/读取数据+读取属性+读取扩展属性+创建文件/写入数据+创建文件夹/附加数据+写入属性+写入扩展属性+删除+读取权限，作用域：此文件夹、子文件夹和文件）l读取和执行（遍历文件夹/执行文件+列出文件夹/读取数据+读取属性+读取扩展属性+读取权限，作用域：此文件夹、子文件夹和文件）l列出文件夹内容（遍历文件夹/执行文件+列出文件夹/读取数据+读取属性+读取扩展属性+读取权限，作用域：此文件夹和子文件夹）l读取（列出文件夹/读取数据+读取属

8、性+读取扩展属性+读取权限，作用域：此文件夹、子文件