Quyền NTFS cho thư mục mẹ để có thể truy cập các thư mục con

Kịch bản nhanh trên hệ thống Windows cục bộ.

Lái xe E: được định dạng với NTFS có bố cục và quyền sau:

E:\                  (JohnDoe)
E:\folder            (Administrator)
E:\folder\subfolder  (JohnDoe)

• JohnDoe có quyền truy cập đọc / ghi vào thư mục gốc.
• JohnDoe có quyền truy cập đọc / ghi subfolder
• JohnDoe làm KHÔNG PHẢI có quyền truy cập vào folder
• JohnDoe làm KHÔNG PHẢI có khả năng thay đổi quyền.

Kể từ khi JohnDoe không thể truy cập folder và do đó không thể liệt kê nội dung, anh ta phải gõ vào đường dẫn E:\folder\subfolder thủ công Không có cách "có thể nhấp" để lấy từ E:\ đến subfolder.

Đây là câu hỏi: Có cách nào cho JohnDoe để khám phá sự tồn tại và con đường của truy cập subfolder, mà không thể liệt kê nội dung của nó folder? Giả sử rằng anh ta đã không nói với subfolder Tên và các quyền không thay đổi so với những gì được nêu ở trên.

_{Vì vấn đề này, hãy bỏ qua khả năng tấn công vũ phu để đoán subfolder 'tên của. Chỉ cho phép các phương pháp không vũ phu.}

NTFS không cung cấp phương thức để khám phá các thư mục con từ xa như vậy trong chính nó, giả sử rằng thư mục trung gian thực sự không có quyền truy cập. Để có được trí thông minh như vậy, bạn phải nhìn xa hơn hệ thống tệp, có lẽ bằng cách thẩm vấn các tệp khác cho các đường dẫn có trong phần mở rộng hoặc bất kỳ lối tắt nào đặt về tham chiếu các thư mục con đó.

Mọi thứ trở nên thú vị hơn nếu JohnDoe có quyền truy cập vào máy. Tại thời điểm kiểm tra xử lý tệp mở có thể tiết lộ sự hiện diện của các thư mục ẩn. Nếu thư mục được chia sẻ, danh sách các tệp đang mở để chia sẻ cũng sẽ tiết lộ sự hiện diện của chúng. Những phương pháp này sẽ không hoạt động cho người dùng 'bình thường'.

Tạo một đường nối cho thư mục con trong thư mục gốc.

E:\
E:\folder
E:\folder\subfolder
E:\junction-to-subfolder

Sử dụng lệnh:

MkLink /j "E:\junction-to-subfolder" "E:\folder\subfolder"

Bây giờ JohnDoe có thể nhìn thấy và truy cập thư mục con đó một cách dễ dàng.

CHỈNH SỬA: Để xóa đường giao nhau mà không ảnh hưởng đến mục tiêu, hãy sử dụng:

RD "E:\junction-to-subfolder"

Tôi đã sử dụng một thiết lập tương tự và dường như người dùng sẽ vấp vào thư mục. Vấn đề trong trường hợp của bạn là bây giờ nó sẽ được truy cập. Nếu sắp có một tập lệnh bó hoặc ánh xạ ổ đĩa, thì người dùng có thể có thể khám phá nó nếu họ hiểu biết. Tôi biết trong Windows bạn có thể ẩn các ký tự ổ đĩa, nhưng điều đó có thể không đủ.

Tôi sẽ đề nghị nếu bạn không muốn họ truy cập nó, đừng cho phép họ, nếu có thể. Sử dụng một tài khoản khác cho nhiệm vụ mà bạn đang thực hiện (ví dụ: chạy tập lệnh bó để sao lưu hoặc bất cứ điều gì).

Thật khó để đưa ra lời khuyên cụ thể hơn khi không biết nhiều hơn về những gì bạn muốn thực hiện trong khi không cho người dùng biết. Có thể có một cách khác nhau.