睿能论坛

 找回密码
 立即注册[Register]
查看: 71 | 回复: 4

详解有关Windows系统的权限设置【大全】

[复制链接]

 成长值: 160

  • TA的每日心情
    擦汗
    4 天前
  • 签到天数: 52 天

    [LV.5]常住居民I

    38

    主题

    130

    帖子

    547

    积分

    版主

    Rank: 12Rank: 12Rank: 12

    积分
    547

    优秀版主最佳新人活跃会员发帖之王热心会员突出贡献

    发表于 2021-9-7 14:29:14 | 显示全部楼层 |阅读模式

    您还未登录/注册╰(*°▽°*)╯,如果可以的话,请注册一个号吧,可以享受更多精彩喔~

    您需要 登录 才可以下载或查看,没有帐号?立即注册[Register]

    x
    详解有关Windows系统的权限设置【大全】
    要打造一台安全的WEB服务器,那么这台服务器就一定要使用NTFS和Windows NT/2000/2003。众所周知,Windows是一个支持多用户、多任务的操作系统,这是权限设置的基础,一切权限设置都是基于用户和进程而言的,不同的用户在访问这台计算机时,将会有不同的权限。DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗?不能!当我们打开一台装有DOS操作系统的计算机的时候,我们就拥有了这个操作系统的管理员权限,而且,这个权限无处不在。所以,我们只能说DOS不支持权限的设置,不能说它没有权限。随着人们安全意识的提高,权限设置随着NTFS的发布诞生了。

      Windows NT里,用户被分成许多组,组和组之间都有不同的权限,当然,一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。

      Administrators:管理员组,默认情况下,Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以,只有受信任的人员才可成为该组的成员。

      Power Users:高级用户组,Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中,这个组的权限是仅次于Administrators的。

      Users:普通用户组,这个组的用户无法进行有意或无意的改动。因此,用户可以运行经过验证的应用程序,但不可以运行大多数旧版应用程序。Users 组是最安全的组,因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上,默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users 可以关闭工作站,但不能关闭服务器。Users 可以创建本地组,但只能修改自己创建的本地组。

    Guests:来宾组,按默认值,来宾跟普通Users的成员有同等访问权,但来宾帐户的限制更多。

    Everyone:顾名思义,所有的用户,这个计算机上的所有用户都属于这个组。

      其实还有一个组也很常见,它拥有和Administrators一样、甚至比其还高的权限,但是这个组不允许任何用户的加入,在察看用户组的时候,它也不会被显示出来,它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM,也许把该组归为用户的行列更为贴切。

      权限是有高低之分的,有高权限的用户可以对低权限的用户进行操作,但除了Administrators之外,其他组的用户不能访问 NTFS 卷上的其他用户资料,除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。

       我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情,这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊,利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以 Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet 站点或打开电子邮件附件的简单行动都可能破坏系统。不熟悉的 Internet 站点或电子邮件附件可能有特洛伊木马代码,这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录,特洛伊木马可能使用管理访问权重新格式化您的硬盘,造成不可估量的损失,所以在没有必要的情况下,最好不用Administrators中的用户登陆。Administrators中有一个在系统安装时就创建的默认用户——Administrator,Administrator 帐户具有对服务器的完全控制权限,并可以根据需要向用户指派用户权利和访问控制权限。因此强烈建议将此帐户设置为使用强密码。永远也不可以从 Administrators 组删除 Administrator 帐户,但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows 上,所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说,他们通常都会重命名或禁用此帐户。Guests用户组下,也有一个默认用户——Guest,但是在默认情况下,它是被禁用的。如果没有特别必要,无须启用此账户。我们可以通过“控制面板”——“管理工具”——“计算机管理”——“用户和用户组”来查看用户组及该组下的用户。

      我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录,选择“属性”——“安全”就可以对一个卷,或者一个卷下面的目录进行权限设置,此时我们会看到以下七种权限:完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”,下面的五项属性将被自动被选中。“修改”则像Power users,选中了“修改”,下面的四项属性将被自动被选中。下面的任何一项没有被选中时,“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件,“列出文件夹目录”和“读取”是“读取和运行”的必要条件。“列出文件夹目录”是指只能浏览该卷或目录下的子目录,不能读取,也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究,鄙人在此就不过多赘述了。


    下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows 2000 Server版,安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS 5.0,删除了一切不必要的映射。整个硬盘分为四个NTFS卷,C盘为系统卷,只安装了系统和驱动程序;D盘为软件卷,该服务器上所有安装的软件都在D盘中;E盘是WEB程序卷,网站程序都在该卷下的WWW目录中;F盘是网站数据卷,网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。这样的分类还算是比较符合一台安全服务器的标准了。希望各个新手管理员能合理给你的服务器数据进行分类,这样不光是查找起来方便,更重要的是这样大大的增强了服务器的安全性,因为我们可以根据需要给每个卷或者每个目录都设置不同的权限,一旦发生了网络安全事故,也可以把损失降到最低。当然,也可以把网站的数据分布在不同的服务器上,使之成为一个服务器群,每个服务器都拥有不同的用户名和密码并提供不同的服务,这样做的安全性更高。不过愿意这样做的人都有一个特点——有钱。好了,言归正传,该服务器的数据库为MS-SQL,MS-SQL的服务软件SQL2000安装在d:\ms-sqlserver2K目录下,给SA账户设置好了足够强度的密码,安装好了SP3补丁。为了方便网页制作员对网页进行管理,该网站还开通了FTP服务,FTP服务软件使用的是SERV-U 5.1.0.0,安装在d:\ftpservice\serv-u目录下。杀毒软件和防火墙用的分别是Norton Antivirus和BlackICE,路径分别为d:\nortonAV和d:\firewall\blackice,病毒库已经升级到最新,防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛,网站程序在e:\www\bbs下。细心的读者可能已经注意到了,安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径,这也是安全上的需要,因为一个黑客如果通过某些途径进入了你的服务器,但并没有获得管理员权限,他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件,因为他需要通过这些来提升他的权限。一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了:“这根本没用到权限设置嘛!我把其他都安全工作都做好了,权限设置还有必要吗?”当然有!智者千虑还必有一失呢,就算你现在已经把系统安全做的完美无缺,你也要知道新的安全漏洞总是在被不断的发现。权限将是你的最后一道防线!那我们现在就来对这台没有经过任何权限设置,全部采用Windows默认权限的服务器进行一次模拟攻击,看看其是否真的固若金汤。

    假设服务器外网域名为,用扫描软件对其进行扫描后发现开放WWW和FTP服务,并发现其服务软件使用的是IIS 5.0和Serv-u 5.1,用一些针对他们的溢出工具后发现无效,遂放弃直接远程溢出的想法。打开网站页面,发现使用的是动网的论坛系统,于是在其域名后面加个/upfile.asp,发现有文件上传漏洞,便抓包,把修改过的ASP木马用NC提交,提示上传成功,成功得到WEBSHELL,打开刚刚上传的ASP木马,发现有MS-SQL、Norton Antivirus和BlackICE在运行,判断是防火墙上做了限制,把SQL服务端口屏蔽了。通过ASP木马查看到了Norton Antivirus和BlackICE的PID,又通过ASP木马上传了一个能杀掉进程的文件,运行后杀掉了Norton Antivirus和BlackICE。再扫描,发现1433端口开放了,到此,便有很多种途径获得管理员权限了,可以查看网站目录下的conn.asp得到SQL的用户名密码,再登陆进SQL执行添加用户,提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传,得到系统管理员权限。还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到,一旦黑客找到了切入点,在没有权限限制的情况下,黑客将一帆风顺的取得管理员权限

      那我们现在就来看看Windows 2000的默认权限设置到底是怎样的。对于各个卷的根目录,默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。系统卷下有三个目录比较特殊,系统默认给了他们有限制的权限,这三个目录是Documents and settings、Program files和Winnt。对于Documents and settings,默认的权限是这样分配的:Administrators拥有完全控制权;Everyone拥有读&运,列和读权限;Power users拥有读&运,列和读权限;SYSTEM同Administrators;Users拥有读&运,列和读权限。对于Program files,Administrators拥有完全控制权;Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Terminal server users拥有完全控制权,Users有读&运,列和读权限。对于Winnt,Administrators拥有完全控制权;Creator owner拥有特殊权限;Power users有完全控制权;SYSTEM同Administrators;Users有读&运,列和读权限。而非系统卷下的所有目录都将继承其父目录的权限,也就是Everyone组完全控制权!
        现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧?权限设置的太低了!一个人在访问网站的时候,将被自动赋予IUSR用户,它是隶属于Guest组的。本来权限不高,但是系统默认给的Everyone组完全控制权却让它“身价倍增”,到最后能得到Administrators了。那么,怎样设置权限给这台WEB服务器才算是安全的呢?大家要牢记一句话:“最少的服务+最小的权限=最大的安全”对于服务,不必要的话一定不要装,要知道服务的运行是SYSTEM级的哦,对于权限,本着够用就好的原则分配就是了。对于WEB服务器,就拿刚刚那台服务器来说,我是这样设置权限的,大家可以参考一下:各个卷的根目录、Documents and settings以及Program files,只给Administrator完全控制权,或者干脆直接把Program files给删除掉;给系统卷的根目录多加一个Everyone的读、写权;给e:\www目录,也就是网站目录读、写权。最后,还要把cmd.exe这个文件给挖出来,只给Administrator完全控制权。经过这样的设置后,再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问:“为什么要给系统卷的根目录一个Everyone的读、写权?网站中的ASP文件运行不需要运行权限吗?”问的好,有深度。是这样的,系统卷如果不给Everyone的读、写权的话,启动计算机的时候,计算机会报错,而且会提示虚拟内存不足。当然这也有个前提——虚拟内存是分配在系统盘的,如果把虚拟内存分配在其他卷上,那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行,只把执行的结果传回最终用户的浏览器,这没错,但ASP文件不是系统意义上的可执行文件,它是由WEB服务的提供者——IIS来解释执行的,所以它的执行并不需要运行的权限。

      经过上面的讲解以后,你一定对权限有了一个初步了了解了吧?想更深入的了解权限,那么权限的一些特性你就不能不知道了,权限是具有继承性、累加性 、优先性、交叉性的。

      继承性是说下级的目录在没有经过重新设置之前,是拥有上一级目录权限设置的。这里还有一种情况要说明一下,在分区内复制目录或文件的时候,复制过去的目录和文件将拥有它现在所处位置的上一级目录权限设置。但在分区内移动目录或文件的时候,移动过去的目录和文件将拥有它原先的权限设置。

      累加是说如一个组GROUP1中有两个用户USER1、USER2,他们同时对某文件或目录的访问权限分别为“读取”和“写入”,那么组GROUP1对该文件或目录的访问权限就为USER1和USER2的访问权限之和,实际上是取其最大的那个,即“读取”+“写入”=“写入”。 又如一个用户USER1同属于组GROUP1和GROUP2,而GROUP1对某一文件或目录的访问权限为“只读”型的,而GROUP2对这一文件或文件夹的访问权限为“完全控制”型的,则用户USER1对该文件或文件夹的访问权限为两个组权限累加所得,即:“只读”+“完全控制”=“完全控制”。

      优先性,权限的这一特性又包含两种子特性,其一是文件的访问权限优先目录的权限,也就是说文件权限可以越过目录的权限,不顾上一级文件夹的设置。另一特性就是“拒绝”权限优先其它权限,也就是说“拒绝”权限可以越过其它所有其它权限,一旦选择了“拒绝”权限,则其它权限也就不能取任何作用,相当于没有设置。

      交叉性是指当同一文件夹在为某一用户设置了共享权限的同时又为用户设置了该文件夹的访问权限,且所设权限不一致时,它的取舍原则是取两个权限的交集,也即最严格、最小的那种权限。如目录A为用户USER1设置的共享权限为“只读”,同时目录A为用户USER1设置的访问权限为“完全控制”,那用户USER1的最终访问权限为“只读”。


    authenticated users:包括在计算机上或活动目录中的所有通过身份验证的账户。 其身份已得到计算机验证的所有用户。身份验证的用户不包括来宾,即使来宾帐户有密码。 所有经过Windows XP验证程序登录的用户均属于此组。      Authenticated Users(经过身份验证的用户)用户组具有向 Active Directory 域中添加10个计算机账户的能力。这些新计算机账户在计算机容器中创建。   用该组代替everyone组可以防止匿名访问。 

                                   
    登录/注册后可看大图

                                   
    登录/注册后可看大图

     
    我把everyone组去掉了。用authenticated users该组代替eo组可以防止匿名访问。

    一 清除黑账户 :  “开始”->“运行”->“cmd”,然后在命令行下输入net user,查看计算机上有些什么用户,然后再使用“net user 用户名”查看这个用户是属于什么权限的,,除了自己设置的管理员【administrator】账户,其他都不应该属于administrators组,如果你发现一个系统内置的用户是属于administrators组的,那几乎可以肯定你被入侵了。快使用“net user用户名/del”来删掉这个黑账户吧!   
          
    二、  在使用电脑的过程中,人们有时会建立多个系统管理员账户,但这些新建的系统管理员账户真的是“请神容易送神难”,主要原因是在“控制面板”的“用户账户”窗口里边根本找不到删除账户的菜单(图1)。 难道这些多余的系统管理员账户真的就无法删除了吗?非也,笔者经过一番研究,终于找到了送走这些“瘟神”的方法。好的经验当然不能独享,下边笔者就给大家介绍一下如何实现。    图1  第一步:以安装XP操作系统时,系统自动创建的管理员账户“Administrator”登录系统,然后单击“开始→运行”,在“运行”对话框中输入“gpedit.msc”,回车之后打开“组策略”工具。  第二步:在“组策略”窗口中,依次展开左边的目录树“计算机配置→Windows设置→安全设置→本地策略→安全选项”,然后在右边的窗口中双击“账户:重命名系统管理员账户”,打开“账户:重命名系统管理员账户属性”窗口,在这个窗口的文本框中输入其他字符以更改系统管理员账户的名称(图2),最后单击“确定”。  
       
    三、 我的系统中有两个帐户,怎样删除系统中Administrator以外的帐户?
        回答:如果以管理员的身份登陆还是没法删除guest等帐户的原因就是权限不够!!

    如何拿权限呢?

    开始-运行-regedit-HKEY_LOCAL_MACHINE下有个子项SAM. 右键-权限-设置当前的管理员完全控制权限

    然后F5刷新.

    接着往下展开SAM-SAM-Domains-account-user
    保留子项000001F4,其余子项删除。
    在names子项下,保留子项Administrator,其余全部删除.


    四、 问题:XP系统,安全模式下,登录计算机管理员账户,却无法输入密码.登录不了.
      答;运行:MMC  进入控制台,添加【本地用户和组】,保存后退出。
      然后,把安全模式下的计算机管理员的密码重新设置。设置为空密码。也就是取消密码。

    五、今天用xuetr的升级版,检查计算机账户时,发现了support 388945a0        

                                   
    登录/注册后可看大图



    这个是服务商提供的远程协助帐号,如果你是品牌电脑的话建议保留

    Support_388945a0 是系统自带的正常用户!
    Support_388945a0 帐户使得帮助和支持服务可以与签名脚本交互操作。此帐户主要用于控制对签名脚本(可以从帮助和支持服务内部访问)的访问权限。管理员可以使用此帐户来委派普通用户(对计算机没有管理权限)的能力,以便从嵌入帮助和支持服务内部的链接运行签名脚本。可以对这些脚本进行编程,以使用 Support_388945a0 帐户凭据(而不是用户凭据)在本地计算机上执行特定的管理操作,而普通用户的帐户不支持这种操作。当委派用户单击帮助和支持服务中的链接时,将在 Support_388945a0 帐户的安全上下文中执行脚本。此帐户对计算机具有有限的访问权限,并且在默认情况下是禁用的。

    ASPNET 帐户
    当您安装 ASP.NET, 作为本地帐户创建 ASPNET 帐户。 ASPNET 帐户仅属于该计算机上用户组。 ASPNET 帐户具有所有权限和用户权限与用户组相关联。 因此, ASPNET 帐户可访问到用户组授予访问任何资源。

    权限设置的问题我就说到这了,在最后我还想给各位读者提醒一下,权限的设置必须在NTFS分区中才能实现的,FAT32是不支持权限设置的。同时还想给各位管理员们一些建议:

    1.养成良好的习惯,给服务器硬盘分区的时候分类明确些,在不使用服务器的时候将服务器锁定,经常更新各种补丁和升级杀毒软件。

    2.设置足够强度的密码,这是老生常谈了,但总有管理员设置弱密码甚至空密码。

    3.把分区格式改为NTFS格式。最少的服务+最小的权限=最大的安全。

    4.在英文水平不是问题的情况下,尽量安装英文版操作系统。

    5.切忌在服务器上乱装软件或不必要的服务。

    6.牢记:没有永远安全的系统,经常更新你的知识。




    评分

    参与人数 1威望 +2 金币 +5 贡献 +2 收起 理由
    ruineng + 2 + 5 + 2 赞一个!楼主辛苦了

    查看全部评分

     成长值: 190

  • TA的每日心情

    昨天 21:14
  • 签到天数: 105 天

    [LV.6]常住居民II

    80

    主题

    691

    帖子

    2万

    积分

    管理员

    Rank: 15Rank: 15Rank: 15Rank: 15Rank: 15

    积分
    24933

    活跃会员热心会员最佳新人推广达人宣传达人突出贡献优秀版主荣誉管理论坛元老发帖之王

    发表于 2021-9-7 21:41:04 | 显示全部楼层
    不戳,加油
    回复

    使用道具 举报

  • TA的每日心情
    开心
    昨天 21:28
  • 签到天数: 29 天

    [LV.4]偶尔看看III

    16

    主题

    55

    帖子

    427

    积分

    燎原大火

    Rank: 7Rank: 7Rank: 7

    积分
    427
    发表于 2021-9-7 21:42:00 | 显示全部楼层
    越到后面越看不懂
    回复

    使用道具 举报

     成长值: 150

  • TA的每日心情
    难过
    昨天 20:57
  • 签到天数: 22 天

    [LV.4]偶尔看看III

    10

    主题

    65

    帖子

    142

    积分

    绒草盛开

    Rank: 4

    积分
    142

    活跃会员热心会员最佳新人

    发表于 2021-9-10 21:07:12 | 显示全部楼层
    我这个臭写病毒的完全听不懂
    回复

    使用道具 举报

     成长值: 120

  • TA的每日心情
    开心
    5 天前
  • 签到天数: 82 天

    [LV.6]常住居民II

    6

    主题

    222

    帖子

    927

    积分

    督查

    Rank: 13Rank: 13Rank: 13Rank: 13

    积分
    927

    活跃会员最佳新人热心会员

    发表于 2021-9-11 15:39:52 | 显示全部楼层
    NT/2000/2003太老了吧,用2012还可以,毕竟基于Windows 8,占用低
    回复

    使用道具 举报

    MySSL 安全签章
    TrustAsia 安全签章

     QQ Archiver手机版小黑屋

    GMT+8, 2021-9-23 17:16 Processed in 0.098851 second(s), 29 queries .

    © 2021 睿能论坛 Powered by Discuz! X3.4 Theme by Jvmao

    快速回复 返回顶部 返回列表