windows的权限是一个看似简单,却又十分难对付的一个问题.
有不少来网盟发问的朋友们觉得是一个难题,包括我们自己有的时候可能也有一点迷茫.
今天我要写的就是windows下的权限.有兴趣的朋友来看一下.
本方法在2K/XP/2K3下顺利实现.因为VISTA现在还不太成熟,不太大众化.我本人手里的VISTA虽然用了不少时间了.之前有在本区发过一个浅析.写的不好.所以今天先不说VISTA的权限.这方法是我自己想的,请大家不要见笑.因为我自己一直在自己在试.所以请各位有兴趣的朋友来指教一下,我也是一个菜鸟,高手就不要来笑话了.谢谢.
A.系统安装前准备:
需要一张系统盘.GHOST盘也可以.C盘用FAT32格式的.其它盘用NTFS格式的.如果硬盘在60G以上的朋友,没有其它的特殊要求的话,本人建议C盘化分为10G.分区在三个到四个为好.因为系统安装比较容易.我就不说了.
B.系统安装后调整:
系统安装完毕后,我们要做别的优化调试,
加速显卡,声卡.设置PF.转移IE COOKIES MY文档.改名GUEST为其它.
改administrator为admin
开启关机事件跟踪,
开启CAD键.(如果是特珠用户,可以调自动登录:开始:运行:ctrol userpasswords2 进行选择用户,在要登录本机必须有密码前面的勾打掉,填写登录密码)
在gpedit.msc里做一些常用的设置.比如说你不想让什么文件运行就可以加入.比如说PP.BT.THUNDER(根据个的爱好进行修改,在此我就不多说了)
优化及暂时安全.本人用的软件有:TWEAKUI.EXE(网吧专栏最强一帖里有下载DL Tweakui.exe),360安全卫士(DL 360 safer),其它就用手动来实现了.(这两个软件相当的好用,我就不做介绍了)是系统必用的.
需要说的是:本系统要建两个超级用户.两个USER用户(方便调权限,及防止病毒,之后为这上个用户设置PF)注:一般来说个人用户都用超管,其他朋友们如果有需要的话,必须用USER,这样可以不装任何杀毒软件.因为我们用的PF不一样.假设我们有USERZ.USERX.我们当前用的是:USERX的话,如果说系统中毒.我们以ADMIN的身份登录.DEL掉USERX以其他用户登录就可以了.
优化服务:
##################################################
sc config Browser start= demand
sc config CryptSvc start= demand
sc config Dfs start= demand
sc config Dnscache start= demand
sc config helpsvc start= demand
sc config Nla start= disabled
sc config Spooler start= demand
sc config RemoteRegistry start= demand
sc config seclogon start= demand
sc config lanmanserver start= demand
sc config ShellHWDetection start= disabled
sc config Schedule start= demand
sc config Lmhosts start= demand
sc config W32Time start= demand
sc config WZCSVC start= demand
attrib +r +s +h c:boot
####################################################
取消DISK空间不足提醒:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorer]
"NoLowDiskSpaceChecks"=dword:00000001
开启共享:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters]
"AutoShareServer"=dword:00000001
"AutoSharewks"=dword:00000001
我设的是打开.
禁止系统还原功能:(同时这个可以在GPEIDT里实现:计算机配置:管理模模板:系统:系统还原:)
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionSystemRestore]
"DisableSR"=dword:00000001
加快开机速度:(我的电脑:属性:高级:启动和故障恢复:BOOT.INI>TIME=0)
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USERControl PanelDesktop]
"WaitToKillAppTimeout"="100"
修改PORT:
修改3389远程连接端口 修改注册表. 开始--运行--regedit 依次展开 HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP 右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 ) HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/ WINSTATIONS/RDP-TCP/ 右边键值中 PortNumber 改为你想用的端口号.注意使用十进制(例 10000 ) 注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口
备份一个注册表文件,关键时候用一下:(EXE文件关联)
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOTexefileshellopencommand]
@=""%1" %*"
之后开始运行:cmd
regsvr32 /u zipfldr.dll
sfc /purgecache
之后---------------------------------------------------------------------------------------------
@echo off
color 1f
echo 张向丽正在清除系统垃圾文件，请稍等QQ：25335167....
del /f /s /q %systemdrive%*.tmp
del /f /s /q %systemdrive%*._mp
del /f /s /q %systemdrive%*.log
del /f /s /q %systemdrive%*.gid
del /f /s /q %systemdrive%*.chk
del /f /s /q %systemdrive%*.old
del /f /s /q %systemdrive%recycled*.*
del /f /s /q %windir%*.bak
del /f /s /q %windir%prefetch*.*
rd /s /q %windir%temp & md %windir%temp
del /f /q %userprofile%cookies*.*
del /f /q %userprofile%recent*.*
del /f /s /q d:Temporary Internet Files*.*"
del /f /s /q "%userprofile%Local SettingsTemp*.*"
del /f /s /q "%userprofile%recent*.*"
echo 清除系统LJ完成，好累呀，去htpp://bbs.bitscn.com上玩一下,闪人先~
echo. & pause
---------------------------------------------------------------------------------------------
上面的保存为BAT文件,可以加入关机脚本.
编辑一下HOSTS文件:
下面是我自己加的几个:
0.0.0.0 www.ebay.com
0.0.0.0 download.cnnic.com
0.0.0.0 download.3721.com
之后把关键的EXE及控制台文件改名:如regedit cmd gpedit ftp tftp secpol diskmgmt,等重要涉及系统安全的文件改名:如此以来自己要记下来,不要自己都记不下来了.之后在C盘从组策略中禁止访问.禁止通过地址栏访问.现在开始说一下权限
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
windows用户介绍:
Administrators,管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
Power Users，高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators 组的权限。在权限设置中，这个组的权限是仅次于Administrators的。
Users:普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users 组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS 格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能注册表设置、操作系统文件或程序文件。Users 可以关闭工作站，但不能关闭服务器。Users 可以创建本地组，但只能修改自己创建的本地组。
Guests:来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
Everyone:顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
根据自己的需要,如果你有要经常写入的文件那么请你留下一个可以写入的盘.请你请定写入的用户不是当前的超级用户{比如当前登录的是ADMIN,另外一个是server,请指定写入的用户:server .完全控制.这是可写的.}
当然,如果你除C盘以外有重要的EXE文件不想让别人运行.
那么点击本文件右键:属性 安全,指定一个不是当前用户的超管,完全控制,
之后你点击的时候就会出现找不到文件.那样我们就RUN AS:用户:密码就可以运行了.
然后我们设大方面的权限:只留一个EVERYONE,因为本用户已经包括经过验证的:GUEST用户.只读
(注意这里是只要一个只读,在高级权限里去掉,继承权.只留一个只读)
现在你发现在已经调过权限的盘里,复制东西的键是灰的.删除不管用
(当然你可以在组策略里去掉安全选项:用户管理:windows组件:资源管理器:前提是你得会CMD中的CACLS.)具体用法:
[/T] [/E] [/C] [/G user:perm] [/R user [...]] [/P user:perm [...]] [/D user [...]]
Filename——显示访问近制列表（以下简称ACL）；
/T——更改当前目录及其所有子目录中指定文件的 ACL；
/E—— 编辑 ACL 而不替换；
/C——在出现拒绝访问错误时继续；
/G user:perm——赋予指定用户访问权限。Perm 可以是R（读取）、W（写入）、C（更改，写入）、F （完全控制）；
/R user——撤销指定用户的访问权限(仅在与 /E 一起使用)；
/P user:perm——替换指定用户的访问权限；/D user——拒绝指定用户的访问。
实例一：查看文件夹的访问控制权限
例如，这里我们希望查看h:temp文件夹的访问控制权限，那么只需要在“开始→运行”对话框或切换到命令提示符模式下，键入如下命令：Cacls h:temp
此时，我们会看到所有用户组和用户对h:temp文件夹的访问控制权限项目，这里的CI表示ACE会由目录继承，OI表示ACE会由文件继承，IO表示ACI不适用于当前文件或目录，每行末尾的字母表示控制权限，例如F表示完全控制，C表示更改，W表示写入。
如果你希望查看该文件夹中所有文件(包括子文件夹中的文件)的访问控制权限，可以键入“Cacls h:temp .”命令。
实例二：修改文件夹的访问控制权限
假如你希望给予本地用户bitscn完全控制h:temp文件夹及子文件夹中所有文件的访问权限，只需要键入如下命令：
Cacls h:temp /t /e /c /g bitscn:f
这里的“/t”表示修改文件夹及子文件夹中所有文件的ACL，“/e”表示仅做编辑工作而不替换，“/c”表示在出现拒绝访问错误时继续，而“/g bitscn:f”表示给予本地用户bitscn以完全控制的权限，这里的“f”代表完全控制，如果只是希望给予读取权限，那么应当是“r”。
实例三：撤销用户的访问控制权限
如果你希望撤销bitscn户对h:temp文件夹及其子文件夹的访问控制权限，可以键入如下命令：
cacls h:temp /t /e /c /r bitscn
如果只是拒绝用户的访问，那么可以键入如下命令：
cacls h:temp /t /e /c /d bitscn
.所以说现在你可以只装一个360来运行系统.
如果你想用NTFS来运行系统的话那么;C盘也一样和上面设置.不过如此一来,关键文件你就用RUNAS,不用改名了
当然系统的权限设的越高,就越麻烦.