我們平常使用計算機的過程當中不會感覺到有權(quán)限在阻撓你去做某件事情，這是因為我們在使用計算機的時候都用的是Administrators中的用戶登陸的。這樣有利也有弊，利當然是你能去做你想做的任何一件事情而不會遇到權(quán)限的限制。弊就是以 Administrators 組成員的身份運行計算機將使系統(tǒng)容易受到特洛伊木馬、病毒及其他安全風險的威脅。訪問 Internet 站點或打開電子郵件附件的簡單行動都可能破壞系統(tǒng)。不熟悉的 Internet 站點或電子郵件附件可能有特洛伊木馬代碼，這些代碼可以下載到系統(tǒng)并被執(zhí)行。如果以本地計算機的管理員身份登錄，特洛伊木馬可能使用管理訪問權(quán)重新格式化您的硬盤，造成不可估量的損失，所以在沒有必要的情況下，最好不用Administrators中的用戶登陸。Administrators中有一個在系統(tǒng)安裝時就創(chuàng)建的默認用戶----Administrator，Administrator 帳戶具有對服務器的完全控制權(quán)限，并可以根據(jù)需要向用戶指派用戶權(quán)利和訪問控制權(quán)限。因此強烈建議將此帳戶設(shè)置為使用強密碼。永遠也不可以從 Administrators 組刪除 Administrator 帳戶，但可以重命名或禁用該帳戶。由于大家都知道“管理員”存在于許多版本的 Windows 上，所以重命名或禁用此帳戶將使惡意用戶嘗試并訪問該帳戶變得更為困難。對于一個好的服務器管理員來說，他們通常都會重命名或禁用此帳戶。Guests用戶組下，也有一個默認用戶----Guest,但是在默認情況下，它是被禁用的。如果沒有特別必要，無須啟用此賬戶。我們可以通過“控制面板”--“管理工具”--“計算機管理”--“用戶和用戶組”來查看用戶組及該組下的用戶。
那我們現(xiàn)在就來看看Windows 2000的默認權(quán)限設(shè)置到底是怎樣的。對于各個卷的根目錄，默認給了Everyone組完全控制權(quán)。這意味著任何進入電腦的用戶將不受限制的在這些根目錄中為所欲為。系統(tǒng)卷下有三個目錄比較特殊，系統(tǒng)默認給了他們有限制的權(quán)限，這三個目錄是Documents and settings、Program files和Winnt。對于Documents and settings，默認的權(quán)限是這樣分配的：Administrators擁有完全控制權(quán)；Everyone擁有讀運，列和讀權(quán)限；Power users擁有讀運，列和讀權(quán)限；SYSTEM同Administrators;Users擁有讀運，列和讀權(quán)限。對于Program files，Administrators擁有完全控制權(quán)；Creator owner擁有特殊權(quán)限;Power users有完全控制權(quán);SYSTEM同Administrators;Terminal server users擁有完全控制權(quán)，Users有讀運，列和讀權(quán)限。對于Winnt，Administrators擁有完全控制權(quán)；Creator owner擁有特殊權(quán)限;Power users有完全控制權(quán);SYSTEM同Administrators;Users有讀運，列和讀權(quán)限。而非系統(tǒng)卷下的所有目錄都將繼承其父目錄的權(quán)限，也就是Everyone組完全控制權(quán)！
現(xiàn)在大家知道為什么我們剛剛在測試的時候能一帆風順的取得管理員權(quán)限了吧？權(quán)限設(shè)置的太低了！一個人在訪問網(wǎng)站的時候，將被自動賦予IUSR用戶，它是隸屬于Guest組的。本來權(quán)限不高，但是系統(tǒng)默認給的Everyone組完全控制權(quán)卻讓它“身價倍增”，到最后能得到Administrators了。那么，怎樣設(shè)置權(quán)限給這臺WEB服務器才算是安全的呢？大家要牢記一句話：“最少的服務+最小的權(quán)限=最大的安全”對于服務，不必要的話一定不要裝，要知道服務的運行是SYSTEM級的哦，對于權(quán)限，本著夠用就好的原則分配就是了。對于WEB服務器，就拿剛剛那臺服務器來說，我是這樣設(shè)置權(quán)限的，大家可以參考一下：各個卷的根目錄、Documents and settings以及Program files，只給Administrator完全控制權(quán)，或者干脆直接把Program files給刪除掉；給系統(tǒng)卷的根目錄多加一個Everyone的讀、寫權(quán)；給e:\www目錄，也就是網(wǎng)站目錄讀、寫權(quán)。最后，還要把cmd.exe這個文件給挖出來，只給Administrator完全控制權(quán)。經(jīng)過這樣的設(shè)置后，再想通過我剛剛的方法入侵這臺服務器就是不可能完成的任務了?？赡苓@時候又有讀者會問：“為什么要給系統(tǒng)卷的根目錄一個Everyone的讀、寫權(quán)？網(wǎng)站中的ASP文件運行不需要運行權(quán)限嗎？”問的好，有深度。是這樣的，系統(tǒng)卷如果不給Everyone的讀、寫權(quán)的話，啟動計算機的時候，計算機會報錯，而且會提示虛擬內(nèi)存不足。當然這也有個前提----虛擬內(nèi)存是分配在系統(tǒng)盤的，如果把虛擬內(nèi)存分配在其他卷上，那你就要給那個卷Everyone的讀、寫權(quán)。ASP文件的運行方式是在服務器上執(zhí)行，只把執(zhí)行的結(jié)果傳回最終用戶的瀏覽器，這沒錯，但ASP文件不是系統(tǒng)意義上的可執(zhí)行文件，它是由WEB服務的提供者----IIS來解釋執(zhí)行的，所以它的執(zhí)行并不需要運行的權(quán)限。
