Windows 2003服务器提权：用户权限和文件夹权限

chunjihong

一、用户权限

详细讲解windows 2003服务器的默认用户权限，包括SYSTEM、Administrator、Guest、IUSR_*、IWAM_*。
详细介绍windows 2003服务器的默认用户组权限，包括Administrators、Backup Operators、Distributed COM Users、Guests、Network Configuration Operators、Performance Log Users、Performance Monitor Users、Power Users、Print Operators、Users、IIS_WPG等。

关键技术要点：与权限提升密切相关的users组、administrators组权限，Administrator、Guest、IUSR_*、IWAM_*帐户默认权限。


Windows 2003下各类用户
SYSTEM ：本地机器上拥有最高权限的用户，使用普通的用户管理工具通常是查看不到他们的，可理解为Windows本身帐户，一些大型系统软件也拥有此帐号权限，比如MSSQL。
Administrator：基本上是本地机器上拥有最高权限的用户；你可以对它重命名，但是不能删除。
Guest：只拥有相对极少的权限，在默认情况下是被禁用的。
IUSR_*、IWAM_*：都是在安装IIS后出现的内建帐号；IUSR_*—-如果装了IIS，访问IIS的用户都是使用这个帐号来匿名访问IIS；它是GUEST组的成员之一。IWAM_*—-如果装了IIS ，各种IIS就用程序就将运行在这个帐户下，它是IIS——WPG用户组的成员之一。
Windows 2003常见用户组
Administrators：这个用户组在本地机器上拥有最高权限（SID：S-1-5-32-544）。
Backup Operators：虽然不如Administrators大，但也差不多。
Guests：与USER组权限相同。
Distributed COM Users：分布式系统帐号，涉及到域及域控制器等知识。
Network Configuration Operators：：WINDOWS2003中新增的用户组，这个用户组有足够的权限去管理网络配置情况。
Performance Log Users：Windows2003中新增用户组，这个用户有权从远程安排性能计数器的日志工作。
Performance Monitor Users，WINDOWS2003新增用户组，这个用户组有权从远程监控计算机的运行情况。
Power Users：低于ADMINISTRAOTRS，但远高于GUEST，不能将添加管理员。
Print Operators：不如ADMINISTRATOR大，但是差不多。
Users：本地机器上所有的用户帐户：这是一个低权限的用户组（SID：S-1-5-32-545）。
IIS_WPG：WINDOWS2003新增用户组：如果安装了IIS，用来运行和种WEB应用程序的，帐户将被容纳在这个用户组里。


二、文件夹权限


详细讲解Windows 2003服务器默认文件夹权限，重点讲解系统盘所在文件夹默认权限和IIS所在文件夹权限设置。详细讲解文件夹属性中的只读、系统、隐藏属性，详细讲解文件夹的权限继承、非继承、扩展权限。

关键技术要点：Ｗindows 2003所有系统文件夹默认权限。


Windows目录的权限
(1) 完全控制
“完全控制”就是对目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。
(2) 修改
“修改”则像Power users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。
(3) 读取和运行
“读取和运行”就是允许读取和运行在目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。
(4) 列出文件夹目录
“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。
(5) 读取
“读取”是能够读取该卷或目录下的数据。
(6) 写入
“写入”就是能往该卷或目录下写入数据。
(7) 特别的权限。
而“特别”则是对以上的六种权限进行了细分。
权限的四个特性——继承性、累加性 、优先性、交叉性
三种文件和文件夹属性：
只读：顾名思义，只能读，不能修改
系统：被隐藏保护通常不会显示
隐藏：隐藏不显示
系统盘权限设置：
c:\
administrators 全部（该文件夹，子文件夹及文件）
CREATOR OWNER 全部（只有子文件来及文件）
system 全部（该文件夹，子文件夹及文件）
IIS_WPG 创建文件/写入数据（只有该文件夹）
IIS_WPG（该文件夹，子文件夹及文件）
遍历文件夹/运行文件
列出文件夹/读取数据
读取属性
创建文件夹/附加数据
读取权限
c:\Documents and Settings
administrators 全部（该文件夹，子文件夹及文件）
Power Users （该文件夹，子文件夹及文件）
读取和运行
列出文件夹目录
读取
SYSTEM全部（该文件夹，子文件夹及文件）
C:\Program Files
administrators 全部（该文件夹，子文件夹及文件）
CREATOR OWNER全部（只有子文件来及文件）
IIS_WPG （该文件夹，子文件夹及文件）
读取和运行
列出文件夹目录
读取
Power Users（该文件夹，子文件夹及文件）
修改权限
SYSTEM全部（该文件夹，子文件夹及文件）
TERMINAL SERVER USER （该文件夹，子文件夹及文件）
修改权限
最后，文件夹的权限继承、非继承、扩展权限。