如何配置Win2003的NTFS文件系统权限及IIS权限设置参考

2023年12月6日发(作者：)

windows 2003文件服务器详细权限设置

window server 2003文件服务器要求达到如下目标：

1． 网络管理员对所有共享文件夹都拥有完全控制权；

2． 所有员工对公共文件夹只拥有读取权限；

3． 每位员工只对自己的私人文件夹拥有完全控制权，且不能读取其他员工的文件夹；

4． 每位员工所能使用的磁盘空间有一定限制，并且已用空间达到一定程度后会得到警告。

创建用户和文件夹：

首先为每位员工创建用户账户，并且在磁盘的NTFS分区中规划合理的文件夹结构。私人文件夹以员工姓名命名，在域中添加用户的过程简述如下：

1. 依次单击“开始/管理工具/Active Directory用户和计算机”，在打开窗口的左窗格中右击“Users”容器，执行“新建/用户”命令。

2. 在打开的“新建对象→用户”对话框中键入用户登录名（如“hongxiaowei”）和用户的全称（如“洪晓卫”）。单击“下一步”按钮，在密码设置选项卡中设定密码并依次单击“下一步/完成”按钮。重复此过程创建其他用户（如图1）。

图1 创建用户账户

安装文件服务器：

因为在默认情况下Windows Server 2003并没有安装“文件服务器”组件，因此手动将这些组件添加了进来。

1. 依次单击“开始/管理工具/管理您的服务器”，打开“管理您的服务器”窗口。在“管理您的服务器角色”区域中单击“添加或删除角色”按钮，进入配置向导并单击“下一步”按钮。

2. 配置向导检测完网络设置后打开“服务器角色”选项卡。在“服务器角色”列表中选中“文件服务器”选项，并单击“下一步”按钮。

3. 在打开的“文件服务器磁盘配额”选项卡中勾选“为此服务器的新用户设置默认磁盘空间配额”复选框，然后根据磁盘剩余空间及用户实际需要在“将磁盘空间限制为”和“将警告级别设置为”编辑框中键入合适的数值。另外，勾选“拒绝将磁盘空间给超过配额限制的用户”复选框，可以禁止用户在其已用磁盘空间达到限额后向服务器写入数据。单击“下一步”按钮（如图2）。

图2 设置磁盘配额

4. 在“文件服务器索引服务”选项卡中点选“是，启用索引服务”单选框，启用对共享文件夹的索引服务。索引服务对服务器资源的开销很大，建议只有在用户需要经常搜索共享文件夹的情况下才启用该服务，单击“下一步”按钮。

5. 打开“选择总结”选项卡，确认选项设置准确无误后单击“下一步”按钮。添加向导开始启用所选服务，完成后会自动打开“共享文件夹向导”。单击“下一步”按钮。

6. 在打开的“文件夹路径”选项卡中单击“浏览”按钮，从本地磁盘中找到“公共资源”文件夹，单击“确定/下一步”按钮。在“名称、描述和设置”选项卡中设置共享名（如“公共资源”），单击“下一步”按钮。

7. 在“权限”选项卡中点选“管理员有完全访问权限；其他用户有只读访问权限”单选框，并依次单击“完成/关闭/完成”按钮结束设置（如图3）。

图3 指定权限

设置私人文件夹访问权限：

现在所有员工已经拥有了对“公共资源”的读取权限。然而还要求每位员工只对自己的私人文件夹拥有完全控制权，且不能读取其他员工的文件夹，因此针对每个私人文件夹进行了访问权限的设置。

1. 依次单击“开始/管理工具/文件服务器管理”菜单项，打开“文件服务器管理”控制台。在右窗格中单击“添加共享文件夹”选项，进入“共享文件夹向导”。依次单击“下一步/浏览”按钮，在打开的“浏览文件夹”对话框中找到并选中某位员工的私人文件夹（如“洪晓卫”），依次单击“确定/下一步/下一步”按钮。

2. 在打开的“权限”选项卡中点选“使用自定义共享和文件夹共享”单选框，并单击“自定义”按钮。在打开的“自定义权限”对话框中单击“删除”按钮将“Everyone”组删除。依次单击“添加/高级/立即查找”按钮，然后按住“Ctrl”键，在“搜索结果”列表框中找到并选中“Administrators”组和“洪晓卫”，依次单击“确定/确定”按钮。

3. 回到“自定义权限”对话框，分别为“洪晓卫的权限”和“Administrators的权限”勾选“允许完全控制”，单击“完成/关闭”按钮。重复上述步骤为其它文件夹设置相应的访问权限（如图4）。

图4 设置用户权限

为了验证所做设置的正确性，可以在一台运行Windows XP的客户机使用已经添加到域中的用户（如“hongxiaowei”）登录到域。通过“网上邻居”（也可通过UNC路径）可以读取“公共资源”文件夹中的文件，并且可以完全控制“洪晓卫”文件夹，但无法读取其他员工的私人文件夹。

看了这篇文章 大概了解“win2003文件服务器权限设置”的概念和操作 现在简单介绍我的实验：

（我没有使用域啊）

1）

在“管理工具”—“计算机管理”—“本地用户和组”添加3个用户并设置密码:user1 user2 user3

2）

然后建立一个community文件夹（管理员拥有所有权限 客服端都只能读）

继续分别建立3个文件夹 分别私人隶属于3个用户：user1 user2 user3

3）

最后用“管理工具”—“文件服务器管理”中设置4个文件夹：community(administrators everyone)、

user1(administrators user1)、user2(administrators user2)、user3(administrators user3)各自隶属于用户和权限

4）

然后用一台进行测试 分别以三种身份访问文件服务器

1管理员administrator能访问所有文件夹并有所有权限

2客户端everyone只能读community 且不能访问user1 user2 user3

3user1能读community 且完全控制user1文件夹 user2和user3同理

如何配置Win2003的NTFS文件系统权限

一、首先了解权限设置的方案

1、被授予权限的对象分用户和用户组两种

2、批量设置有两大方案，当设置某个目录的权限时，进入高级

I 可设置是否继承父级权限设置 （第一个勾）

II 可设置是否替换子目录及文件的权限设置 （第二个勾）

二、系统盘主要目录的权限设置

C:只授予 System 和 Administrators 完全控制权限，删除其他用户或组，不替换子目录

C:Documents and Settings

仅继承父级，并替换子目录

C:Inetpub

删除之，不要使用该目录作为网站发布的目录。

C:Program Files

仅继承父级，并替换子目录

C:Program FilesCommon FilesMicrosoft Shared

删除继承并保留设置（在“高级”中取消第一个勾，再在弹出的对话中选“复制”）

添加 Users 组，只授予读取权限

将该目录的设置替换它的子目录（勾中第二个勾）

C:Windows

删除继承并保留设置

添加 Users 组，只授予读取权限

将该目录的设置替换它的子目录

（具体做法和上面 /Microsoft Shared 目录设置一样）

C:WindowsTemp

添加 IIS_WPG、ASPNET、Network Services、Network 用户或组

授予完全控制权限，替换它的子目录

C:meworkv1.1.4322Temporary Files

添加 Everyone，授予完全控制权限，将该设置替换它的子目录

三、其他盘的设置

C盘设置完成，其他盘均仅给 System 和 Administrators 授予完全控制即可。

网站发布目录授予IIS匿名用户读取访问权限。需要.NET权限的目录添加 IIS_WPG 组（或隶属于该组的某个用户），授予完全控制权限。

IIS权限设置参考

虽然 Apache 的名声可能比 IIS 好，但我相信用 IIS 来做 Web 服务器的人一定也不少。说实话，我觉得 IIS 还是不错的，性能和稳定性都相当不错。但是我发现许多用 IIS 的人不太会设置 Web 服务器的权限，因此，出现漏洞被人黑掉也就不足为奇了。但我们不应该把这归咎于 IIS 的不安全。如果对站点的每个目录都配以正确的权限，出现漏洞被人黑掉的机会还是很小的（Web 应用程序本身有问题和通过其它方式入侵黑掉服务器的除外）。下面是我在配置过程中总结的一些经验，希望对大家有所帮助。

IIS Web 服务器的权限设置有两个地方，一个是 NTFS 文件系统本身的权限设置，另一个是 IIS 下网站->站点->属性->主目录（或站点下目录->属性->目录）面板上。这两个地方是密切相关的。下面我会以实例的方式来讲解如何设置权限。

IIS 下网站->站点->属性->主目录（或站点下目录->属性->目录）面板上有：

脚本资源访问

免费收录网站

读取

写入

浏览

记录访问

索引资源

6 个选项。这 6 个选项中，“记录访问”和“索引资源”跟安全性关系不大，一般都设置。但是如果前面四个权限都没有设置的话，这两个权限也没有必要设置。在设置权限时，记住这个规则即可，后面的例子中不再特别说明这两个权限的设置。

另外在这 6 个选项下面的执行权限下拉列表中还有：

无

纯脚本

纯脚本和可执行程序

3 个选项。

而网站目录如果在 NTFS 分区（推荐用这种）的话，还需要对 NTFS 分区上的这个目录设置相应权限，许多地方都介绍设置 everyone 的权限，实际上这是不好的，其实只要设置好 Internet 来宾帐号（IUSR_xxxxxxx）或

IIS_WPG 组的帐号权限就可以了。如果是设置 ASP、PHP 程序的目录权限，那么设置 Internet 来宾帐号的权限，而对于 程序，则需要设置

IIS_WPG 组的帐号权限。在后面提到 NTFS 权限设置时会明确指出，没有明确指出的都是指设置 IIS 属性面板上的权限。

例1 —— ASP、PHP、 程序所在目录的权限设置：

如果这些程序是要执行的，那么需要设置“读取”权限，并且设置执行权限为“纯 脚本”。不要设置“写入”和“脚本资源访问”，更不要设置执行权限为“纯脚本和可执行程序”。NTFS 权限中不要给 IIS_WPG 用户组和 Internet 来宾帐号设置写和修改权限。如果有一些特殊的配置文件（而且配置文件本身也是 ASP、PHP 程序），则需要给这些特定的文件配置 NTFS 权限中的 Internet 来宾帐号（ 程序是 IIS_WPG 组）的写权限，而不要配置 IIS 属性面板中的“写入”权限。

站长必看的网站

IIS 面板中的“写入”权限实际上是对 HTTP PUT 指令的处理，对于普通网站，一般情况下这个权限是不打开的。

IIS 面板中的“脚本资源访问”不是指可以执行脚本的权限，而是指可以访问源代码的权限，如果同时又打开“写入”权限的话，那么就非常危险了。

执行权限中“纯脚本和可执行程序”权限可以执行任意程序，包括 exe 可执行程序，如果目录同时有“写入”权限的话，那么就很容易被人上传并执行木马程序了。

对于 程序的目录，许多人喜欢在文件系统中设置成 Web 共享，实际上这是没有必要的。只需要在 IIS 中保证该目录为一个应用程序即可。如果所在目录在 IIS 中不是一个应用程序目录，只需要在其属性->目录面板中应用程序设置部分点创建就可以了。Web 共享会给其更多权限，可能会造成不安全因素。

剑心总结:也就是说一般不要打开-主目录-(写入),(脚本资源访问) 这两项以及不要选上(纯脚本和可执行程序),选(纯脚本)就可以了.需要的应用程序的如果应用程序目录不止应用程序一个程序的可以在应用程序文件夹上(属性)-目录-点创建就可以了.不要在文件夹上选web共享.

例2 —— 上传目录的权限设置：

用户的网站上可能会设置一个或几个目录允许上传文件，上传的方式一般是通过

ASP、PHP、 等程序来完成。这时需要注意，一定要将上传目录的执行权限设为“无”，这样即使上传了 ASP、PHP 等脚本程序或者 exe 程序，也不会在用户浏览器里就触发执行。 网站精华

同样，如果不需要用户用 PUT 指令上传，那么不要打开该上传目录的“写入”权限。而应该设置 NTFS 权限中的 Internet 来宾帐号（ 程序的上传目录是 IIS_WPG 组）的写权限。

如果下载时，是通过程序读取文件内容然后再转发给用户的话，那么连“读取”权限也不要设置。这样可以保证用户上传的文件只能被程序中已授权的用户所下载。而不是知道文件存放目录的用户所下载。“浏览”权限也不要打开，除非你就是希望用户可以浏览你的上传目录，并可以选择自己想要下载的东西。

剑心总结:一般的一些等程序都有一个上传目录.比如论坛.他们继承了上面的属性可以运行脚本的.我们应该将这些目录从新设置一下属性.将(纯脚本)改成(无).

例3 —— Access 数据库所在目录的权限设置：

许多 IIS 用户常常采用将 Access 数据库改名（改为 asp 或者 aspx 后缀等）或者放在发布目录之外的方法来避免浏览者下载它们的 Access 数据库。而实际上，这是不必要的。其实只需要将 Access 所在目录（或者该文件）的“读取”、“写入”权限都去掉就可以防止被人下载或篡改了。你不必担心这样你的程序会无法读取和写入你的 Access 数据库。你的程序需要的是 NTFS 上

Internet 来宾帐号或 IIS_WPG 组帐号的权限，你只要将这些用户的权限设置为可读可写就完全可以保证你的程序能够正确运行了。

站长网

剑心总结:Internet 来宾帐号或 IIS_WPG 组帐号的权限可读可写.那么Access所在目录（或者该文件）的“读取”、“写入”权限都去掉就可以防止被人下载或篡改了

例4 —— 其它目录的权限设置：

你的网站下可能还有纯图片目录、纯 html 模版目录、纯客户端 js 文件目录或者样式表目录等，这些目录只需要设置“读取”权限即可，执行权限设成“无”即可。其它权限一概不需要设置。

好了，我想上面的几个例子已经包含了大部分情况下的权限设置，其它情况根据这些例子，我想你一定可以想到该如何设置了吧。

Windows2003服务器安装及设置教程---文件及文件夹权限

删除所有的Everone权限，包括：

所有磁盘根目录

C:Windows

C:Documents and Settings

C:Documents and SettingsAll Users

C:Documents and SettingsAll UsersDocuments

C:Inetpubwwwrootaspnet_client

C:Documents and SettingsAll UsersApplication DataMicrosoft

C:Documents and SettingsAll UsersApplication DataMicrosoftHTML Help

删除所有的CREATOR OWNER权限，包括：

所有磁盘根目录

C:Windows

C:Windowsrepair

C:Windowssystem32

C:Windowssystem32wbem

C:Windowssystem32config

C:Program Files

C:Program FilesWindowsUpdate

C:Documents and SettingsAll UsersDocuments

C:Documents and SettingsAll UsersApplication Data

删除所有的Power Users权限，包括：

所有磁盘根目录

C:Windows

C:Windowsrepair

C:Windowssystem32

C:Windowssystem32wbem

C:Windowssystem32config

C:Program Files

C:Documents and Settings

C:Program FilesWindowsUpdate

C:Documents and SettingsAll Users

C:Documents and SettingsAll UsersDocuments

C:Documents and SettingsAll UsersApplication Data

C:Documents and SettingsAll UsersApplication DataMicrosoft

C:Documents and SettingsAll UsersApplication DataMicrosoftHTML Help

删除所有的TERMINAL SERVER USER权限，包括：

C:Program Files

删除的所有的users的访问权限，包括：

所有磁盘根目录

C:Documents and SettingsAll Users

C:Documents and SettingsAll UsersDocuments" r "users" e

C:Documents and SettingsAll UsersApplication Data" r "users" e

C:Documents and Settings

C:Windows

C:Windowsaddins

C:WindowsAppPatch

C:WindowsConnection Wizard

C:WindowsDebug

C:WindowsDriver Cache

C:WindowsHelp

C:WindowsIIS Temporary Compressed Files

C:Windowsjava

C:Windowsmsagent

C:Windowsmui

C:Windowsrepair

C:WindowsResources

C:Windowssecurity

C:Windowssystem

C:WindowsTAPI

C:Windowstwain_32

C:WindowsWeb

C:Windowssystem323com_dmi

C:Windowssystem32administration

C:Windowssystem32Cache

C:Windowssystem32CatRoot2

C:Windowssystem32Com

C:Windowssystem32config

C:Windowssystem32dhcp

C:Windowssystem32drivers

C:Windowssystem32export

C:Windowssystem32icsxml

C:Windowssystem32lls

C:Windowssystem32LogFiles

C:Windowssystem32MicrosoftPassport

C:Windowssystem32mui

C:Windowssystem32oobe

C:Windowssystem32ShellExt

添加Guests组和虚拟主机组用户拒绝权限

Guests组可以访问某些文件可能会造成安全隐患，我们应该拒绝Guests组访问。虚拟主机用户组同理。主要是下面这些文件夹：

C:Windowsrepair

C:Windowssystem32config

C:WindowsIIS Temporary Compressed Files

C:Documents and SettingsAll UsersApplication Data

C:meworkv1.1.4322Temporary Files

C:meworkv2.0.50727Temporary Files

C:Documents and SettingsAll UsersApplication DataMicrosoft

C:Documents and SettingsAll UsersApplication DataMicrosoftCryptoDSSachineKeys

C:Documents and SettingsAll UsersApplication DataMicrosoftCryptoRSAMachineKeys

C:Documents and SettingsAll UsersApplication DataMicrosoftHTML Help

添加IIS_WPG的访问权限

IIS_WPG是支持所需要的用户，需要增加该用户的一些访问，才能够支持，如下设置：

C:盘根目录，增加IIS_WPG用户，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

C:Program Files目录，增加IIS_WPG用户，权限为：读取。

C:Windows目录，增加IIS_WPG用户，权限为：读取与运行、列出文件夹目录、读取。

还有以下目录，增加IIS_WPG用户，进入权限高级设置，权限为：更改权限

C:WindowsDownloaded Program Files

C:WindowsHelp

C:WindowsIIS Temporary Compressed Files

C:WindowsOffline Web Pages

C:WindowsSystem32

C:WindowsTasks

C:WindowsWeb

添加users的访问权限

C:Program Files/Common Files，增加Users组的 读取 权限；

C:WindowsTemp，增加Everyone组的 修改 权限；

C:mework，增加Users组 读取与运行、列出文件夹目录、读取

权限。

C:WindowsWinSxS

PHP权限设置

PHP安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

C:Windows目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

ISAPI_Rewrite权限设置

ISAPI_Rewrite安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

AspJpeg权限设置

AspJpeg安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

LyfUpload权限设置

LyfUpload安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

动易权限设置

动易组件安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

Jmail权限设置

Jmail安装目录，添加Users用户组权限，进入权限高级设置，权限为：遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限。

1.  文件夹C:Documents and SettingsAll UsersApplication

DataMicrosoft

文件夹C:Documents and SettingsAll UsersApplication

DataMicrosoftHTML Help

1. Administrators

完全控制

SYSTEM

Users

GUESTS

1.

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

1.  文件夹C:Documents and SettingsAll UsersApplication

DataMicrosoftCryptoRSAMachineKeys

文件夹C:Documents and SettingsAll UsersApplication

DataMicrosoftCryptoDSSMachineKeys

1. Administrators

Everyone

GUESTS

1.

1.  文件夹C:Program Files

文件夹C:Program FilesCommon Files

1. Administrators

SYSTEM

完全控制

该文件夹，子文件夹及文件

<不是继承的>

列出文件夹、读取属性、读取扩展属性、创建文件、创建文件夹、写入属性、写入扩展属性、读取权限

只有该文件夹

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

IIS_WPG

Users

GUESTS

1.

1.  文件夹C:WINDOWS

1.

SYSTEM

IIS_WPG

GUESTS

1.

该文件夹，子文件夹及文件

<不是继承的>

读取与运行

该文件夹，子文件夹及文件

<不是继承的>

读取与运行

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

Administrators

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

读取与运行

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

1.  文件夹C:WINDOWSrepair

1.

SYSTEM

Administrators

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的> GUESTS

1.

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

1.  文件夹C:WINDOWSIIS Temporary Compressed Files

1. Administrators

SYSTEM

GUESTS

虚拟主机用户组、IUSR用户

IIS_WPG

1.

1.  文件夹C:WINDOWSsystem32

1. Administrators

SYSTEM

GUESTS、虚拟主机用户组、IUSR用户

Users

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

读取和写入/删除

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

遍历文件夹/运行程序、读取属性、读取扩展属性、

IIS_WPG

1.

读取权限

该文件夹，子文件夹及文件

<不是继承的>

更改权限

只有文件

<不是继承的>

1.  文件夹C:WINDOWSsystem32inetsrv

文件夹C:WINDOWSsystem32config

文件夹C:WINDOWSsystem32inetsrvMetaBack

1.

SYSTEM

Users

GUESTS

1.

1.  文件夹C:WINDOWSsystem32inetsrvASP Compiled Templates

1.

SYSTEM

IIS_WPG

Administrators

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

读取与运行

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

Administrators

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的> GUESTS

1.

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

1.  文件夹C:mework版本Temporary

Files

1. Administrators

SYSTEM

Users

GUESTS

IIS_WPG

IIS_WPG

LOCAL SERVICE

LOCAL SERVICE

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

完全控制

该文件夹，子文件夹及文件

<继承于C:windows>

读取与运行

该文件夹，子文件夹及文件

<不是继承的>

拒绝（列出文件夹、读取数据）

该文件夹，子文件夹及文件

<不是继承的>

读取和运行

该文件夹，子文件夹及文件

<继承于C:windows>

写入/删除

该文件夹，子文件夹及文件

<不是继承的>

读取和运行

该文件夹，子文件夹及文件

<继承于C:windows>

写入/删除

该文件夹，子文件夹及文件

<不是继承的>

读取和运行

该文件夹，子文件夹及文件

<继承于C:windows>

写入/删除

该文件夹，子文件夹及文件

<不是继承的> NETWORK SERVICE

NETWORK SERVICE

1.

读取和运行

该文件夹，子文件夹及文件

<继承于C:windows>

写入/删除

该文件夹，子文件夹及文件

<不是继承的>

1.  文件夹PHP安装目录

文件夹ISAPI_Rewrite安装目录

文件夹AspJpeg安装目录

文件夹LyfUpload安装目录

文件夹动易组件安装目录

文件夹Jmail安装目录

1.

SYSTEM

Users

Administrators

完全控制

该文件夹，子文件夹及文件

<不是继承的>

完全控制

该文件夹，子文件夹及文件

<不是继承的>

遍历文件夹/运行程序、读取属性、读取扩展属性、读取权限

该文件夹，子文件夹及文件

<不是继承的>

Windows2003服务器安装及设置教程—文件及文件夹权限篇

给系统文件设置权限

系统文件对系统的稳定性有无可争议的作用，同时对系统的操作也是通过这些系统文件进行的。通过设置系统文件的访问权限，让一些操作只能由管理员来操作。这样系统的安全性就大大提高。//by /

不多说了，下面将说明需要设置权限的系统文件，设置为只有Administrators组可以访问，并且拒绝Guests组访问。//by /

1. "%SystemDrive%/"

Windows主要依赖文件来确定计算机在重启（引导）过程中显示的可供选取的操作系统类别

2. "%SystemDrive%/"

装有DOS或 Windows操作系统的计算机在启动的 时候，都要自动执行

批处理文件

3. "%SystemDrive%/PRogram Files/Internet Explorer/"

Microsoft Internet Explorer的主程序

4. "%SystemRoot%/system32/"

windows内置的一个管理网络资源的命令

5. "%SystemRoot%/system32/"

windows内置的一个管理网络资源的命令

"%SystemRoot%/system32/"

命令行程序，类似与微软的DOS操作系统

6. "%SystemRoot%/system32/"

File Transfer PRogram，微软的FTP文件传输程序

7. "%SystemRoot%/system32/"

FSO组件，需要支持FSO的话该文件不要设置权限

8. "%SystemRoot%/system32/"

Shell.ａｐｐｌｉｃａｔｉｏｎ组件支持文件

9. "%SystemRoot%/system32/"

MicrosoftWindows用于检查所有TCP、IP以及UDP连接的统计情况

10."%SystemRoot%/system32/"

注册表编辑器

11."%SystemRoot%/system32/"

安全策略管理器

12."%SystemRoot%/system32/"

组策略结果命令行工具

13."%SystemRoot%/system32/"

组策略刷新程序

14."%SystemRoot%/system32/"

计划运行任务

15."%SystemRoot%/system32/"

显示和更改文件和文件夹属性的DOS命令

16."%SystemRoot%/system32/"

格式化命令

17."%SystemRoot%/system32/"

注销用户命令

18."%SystemRoot%/system32/"

关闭计算机命令

19."%SystemRoot%/system32/"

Microsoft Windows虚拟终端程序

20."%SystemRoot%/system32/"

Windows环境下的脚本宿主引擎

21."%SystemRoot%/system32/"

重新调用命令行创建宏

22."%SystemRoot%/system32/"

Windows 帮助程序

23."%SystemRoot%/system32/"

用于快速浏览系统的TCP/IP配置

24."%SystemRoot%/system32/"

用于显示TCP/IP上的NETBIOS(NETBT)的状态

25."%SystemRoot%/system32/"

Windows打印程序

26."%SystemRoot%/system32/"

复制文件及文件夹的Dos文件

27."%SystemRoot%/system32/"

程序测试与编辑工具

28."%SystemRoot%/system32/"

注册表编辑器

29."%SystemRoot%/system32/"

用于在命令行下编辑注册表的工具

30."%SystemRoot%/system32/"

程序注册工具

下面的文件作用不再一一列举，有兴趣的话可以搜索引擎查询一下

31."%SystemRoot%/system32/"

32."%SystemRoot%/system32/"

33."%SystemRoot%/system32/"

34."%SystemRoot%/system32/"

35."%SystemRoot%/system32/"

36."%SystemRoot%/system32/"

37."%SystemRoot%/system32/"

38."%SystemRoot%/system32/"

39."%SystemRoot%/system32/"

40."%SystemRoot%/system32/"

41."%SystemRoot%/system32/"

42."%SystemRoot%/system32/"

43."%SystemRoot%/system32/"

44."%SystemRoot%/system32/"

45."%SystemRoot%/system32/"

46."%SystemRoot%/system32/"

47."%SystemRoot%/system32/"

48."%SystemRoot%/system32/"

49."%SystemRoot%/system32/"

50."%SystemRoot%/system32/"

51."%SystemRoot%/system32/"

52."%SystemRoot%/system32/"

53."%SystemRoot%/system32/"

54."%SystemRoot%/system32/"

55."%SystemRoot%/system32/"

56."%SystemRoot%/system32/"

57."%SystemRoot%/system32/"

58."%SystemRoot%/system32/"

59."%SystemRoot%/system32/"

60."%SystemRoot%/system32/"

61."%SystemRoot%/PCHealth/HelpCtr/Binaries/"

62."%SystemRoot%/"

63."%SystemRoot%/"

64."%SystemRoot%/"

65."%SystemRoot%/"

66."%SystemRoot%/system32/"

67."%SystemRoot%/system32/"

68."%SystemRoot%/system32/"

69."%SystemRoot%/system32/"

70."%SystemRoot%/system32/"

71."%SystemRoot%/system32/"

72."%SystemRoot%/system32/"

73."%SystemRoot%/system32/"

74."%SystemRoot%/system32/"

防止WINDOWS漏洞[粘置键]的"变态入侵之有史以来最酷的Windows后门sethc_exe

75."%SystemRoot%/ServicePackFiles/i386/"

防止WINDOWS漏洞[粘置键]的"变态入侵之有史以来最酷的Windows后门sethc_exe