icacls （ Integrity Control Access Control Lists） 是 Windows 操作系统中用于管理文件和目录的访问控制列表ACLs（ Access Control Lists）命令行工具。它可以用来查看、修改、备份和恢复文件和文件夹的权限设置。权限控制是 Windows 安全体系的重要组成部分，icacls 是在命令行下管理这些权限的一种方式。

icacls | Microsoft Learn

icacls 完整解构

全称：Integrity Control Access Control Lists，Vista/2003SP2 引入，替代 cacls.exe；

定位：用户态命令行封装器，不直接操作内核，调用 Windows 安全 API 读写 NTFS 安全描述符 SDCSDN博...

一、底层原理

1. NTFS 底层对象模型

NTFS 在MFT 记录中，为每个文件 / 目录存储 安全描述符 SD（Security Descriptor）：

SD
├─ Owner：对象所有者SID
├─ Group：主组SID（传统POSIX兼容，Windows很少用）
├─ DACL：自主访问控制列表（icacls 主要操作对象）
│  └─ ACE 数组：Access Control Entry（每条ACE = SID + 权限掩码 + 继承标志）
└─ SACL：系统审计ACL（icacls**不能读写SACL**）

ACE 规范排序（icacls 写入时自动强制重排，这是和旧 cacls 最大区别）：

  1. 显式拒绝 ACE
  2. 显式允许 ACE
  3. 继承拒绝 ACE
  4. 继承允许 ACE博客园

2. icacls 核心能力本质

icacls 不实现权限校验算法，只是：

  • 解析命令行参数
  • 调用 Win32 安全 API 读取 / 修改 SD 内 DACL
  • 处理目录递归、继承标志、SID 名称解析
  • 序列化 DACL 到文本（/save）/ 反序列化恢复（/restore）
  • 额外支持：完整性级别 ACE（强制完整性控制 MIC），UAC 低完整性隔离依赖这个 ACE博客园

权限裁决本身由内核安全引用监视器 SeAccessCheck 完成，icacls 只是修改存储规则，不做访问判断。

二、依赖文件清单

文件 类型 核心职责
icacls.exe 用户态主程序 % SystemRoot%\System32\icacls.exe；参数解析、目录遍历、ACL 文本序列化输出
advapi32.dll Win32 安全 API GetNamedSecurityInfo / SetNamedSecurityInfo；SD 读写核心入口
kernel32.dll / kernelbase.dll 文件 API FindFirstFileW/FindNextFileW，路径遍历、符号链接句柄打开
ntdll.dll Native API 层 封装 NtSetSecurityObject、NtQuerySecurityObject，进入系统调用
sspicli.dll 安全支持 SID ↔ 账户名互转（解析Administrators为 SID，SID 反查显示用户名）
ntfs.sys 内核驱动 真正持久化 SD 到 MFT 元数据；FAT32/exFAT 无 SD，icacls ACL 操作直接报错

进程外依赖（服务，不是 DLL）

  • lsass.exe（本地安全机构）：SID、本地账户 / 域账户查询、身份主体解析；域环境走 RPC 和域控解析 SID。

注意：icacls /save 输出的 acl 文本是icacls 自定义私有格式，不是标准 SDDL，不能直接传给 SetNamedSecurityInfo；只能 icacls /restore 读取博客园

三、依赖关系与调用链路（逻辑链）

flowchart LR
    A[icacls.exe 命令行输入] --> B[参数解析 /T /grant /setowner /save]
    B --> C[advapi32.dll GetNamedSecurityInfo]
    C --> D[ntdll.dll NtQuerySecurityObject 系统调用]
    D --> E[内核安全子系统]
    E --> F[ntfs.sys 读取MFT中的SD]
    
    %% 修改路径
    B --> G[构造/修改DACL、ACE、继承标志、完整性ACE]
    G --> H[advapi32.dll SetNamedSecurityInfo]
    H --> I[ntdll.dll NtSetSecurityObject]
    I --> J[内核安全监视器校验权限WRITE_DAC/WRITE_OWNER]
    J --> K[ntfs.sys 将新SD写入MFT元数据]
    K --> L[返回状态码给icacls，控制台输出结果]
    
    %% SID解析分支
    B --> M[sspicli.dll]
    M --> N[RPC调用 lsass.exe]
    N --> O[本地/域SID解析]
    O --> G

权限前置依赖（执行 icacls 修改操作，进程令牌必须具备）

  1. 读取 ACL：对象 READ_CONTROL
  2. 修改 DACL（grant/deny/remove）：WRITE_DAC
  3. /setowner 修改所有者：WRITE_OWNER
  4. 夺取所有权：需要 SeTakeOwnershipPrivilege，icacls 本身不会自动启用此特权，必须配合 takeown.exe博客园

四、配套链（周边配套工具 / 系统组件）

  1. takeown.exe：配套夺取所有权；icacls /setowner 无法强制接管保护对象，需要 takeown 先拿所有权。
  2. PowerShell：Get-Acl / Set-Acl：原生 SDDL 操作，和 icacls 互补；PowerShell 直接操作 SD 对象，不走 icacls 文本中间层。
  3. aclui.dll：资源管理器 “安全” 图形界面底层组件，GUI 权限面板和 icacls 读写同一个 SD。
  4. seclogon.dll (Secondary Logon)：runas，提供以其他身份运行 icacls，切换令牌上下文。
  5. 事件日志子系统：SACL 审计记录（但 icacls 不能修改 SACL）。
  6. NTFS 文件系统驱动 ntfs.sys + 磁盘栈：元数据持久化。

对比：旧 cacls.exe 的缺陷：ACE 排序错误、继承处理有 bug、不支持完整性标签、SID 支持弱；icacls 修复了继承逻辑，增加 MIC 完整性级别。

五、边界（硬限制、踩坑边界、能力边界）

🔴 文件系统边界

  • 仅 NTFS 支持 SD/DACL；FAT32/exFAT/RAW 无安全描述符，所有 ACL 修改命令报错。
  • ReFS：现代 ReFS 支持安全描述符，icacls 可正常读写（部分老版本 ReFS 有细微差异）。

🟠 能力边界（icacls 不能做什么）

  1. 不能读写 SACL 审计 ACL，只能读写 DACL；/save 只保存 DACL，不保存 Owner、SACL、完整性标签，/restore 也不会恢复 Owner/SACL，运维高频翻车点博客园。
  2. 不能绕过 Windows 特权机制：即使你添加/deny，进程持有SeBackupPrivilege / SeRestorePrivilege仍然可以绕过 DACL 读取写入。
  3. 不处理 SMB 共享权限：icacls 只管NTFS 本地 ACL；网络访问有效权限 = NTFS ACL ∩ SMB共享权限，二者独立。
  4. 符号链接默认修改目标文件权限；修改符号链接本身 SD，必须加 /L 参数。

🟡 ACE & 继承边界

  1. /grant:r：只替换该 SID已有的显式允许 ACE；不碰拒绝 ACE、继承 ACE。
  2. /inheritance:e/d/r
    • e：启用继承
    • d：禁用继承，但复制原有继承 ACE 转为显式 ACE
    • r：删除所有继承 ACE（直接切断继承）
  3. icacls 写入 DACL 自动规范化 ACE 顺序；如果你手动构造乱序 DACL，icacls 会重排，会改变原有 ACE 顺序。
  4. 显式拒绝 ACE 优先级最高；但拒绝 ACE 只对本次访问令牌生效，特权账号可以绕过。

🟢 系统保护边界

  • WRP（Windows 资源保护）文件（TrustedInstaller 保护）：icacls 修改后，系统会自动复原 SD；单纯 icacls 无法永久修改系统核心文件权限。
  • 磁盘根目录执行 /reset 容易报 “无法创建可用 ACL”，系统保护防止根目录权限彻底破坏。

⚫ SID 语法边界

数字 SID 必须前缀 *，例：*S-1-5-32-544；不带 * 会被当成账户名解析失败。

六、关键风险总结

  1. /save 备份不完整：丢失 Owner、SACL、完整性标签；完整备份 SD 应该用 PowerShell Get-Acl 导出 SDDL。
  2. /deny 不是绝对防火墙：管理员特权可以绕过 DACL 拒绝。
  3. 递归 /T 遇到无法访问文件，默认中断；搭配 /C 遇到错误继续，但是错误仍然输出。
  4. 继承操作属于破坏性操作，/inheritance:r 删除继承，父目录权限不再向下传递，极易造成权限黑洞。

七、icacls vs PowerShell Get/Set-Acl 本质差异

  • icacls：命令行工具，封装 API；自带文本序列化；擅长批量递归、完整性级别设置；丢失 SACL/Owner。
  • PS Acl：直接操作原生 SecurityDescriptor 对象，支持 SDDL 完整导入导出；可以读写 Owner/SACL；但原生不支持 MIC 完整性级别便捷设置。

icacls /save ACL 备份文件完整解析

核心结论：icacls /save 输出文件本质是 UTF-16LE（Unicode）文本文件，采用两行一组记录，ACL 部分使用标准 SDDL 字符串，但整套文件封装格式是icacls 私有自定义封装，不能直接用通用 SDDL 解析器完整解析整套文件，只能被 icacls /restore 读取；仅保存 DACL，Owner、SACL、MIC 完整性标签全部丢弃不写入。 微软文档明确标注：/save：只保存 DACL；不保存所有者、SACL、完整性标签Microsoft ...。

一、文件基础属性

  1. 编码：UTF-16LE（带 BOM 0xFF 0xFE）
    • 记事本打开正常；若用 ANSI 保存修改，直接破坏文件，/restore 报错。
    • 很多人踩坑：手动编辑后保存成 ANSI，备份直接报废。
  2. 记录结构：两条行 = 一条对象记录 
    相对路径（第1行）
SDDL字符串（第2行）
    循环重复，直到文件结束。
  3. 路径规则：相对路径，不是绝对路径
    • 示例：icacls C:\data /save acl.txt /T
    • 备份文件内路径写 data\test.txt，不是 C:\data\test.txt
    • /restore 时，把这个相对路径拼接在你传入的目标目录后面；目录层级必须严格对齐，否则权限恢复到错误文件博客园。
    • 根目录特殊：备份根目录时第一行为空行；部分版本需要手动写 . 代表当前目录，否则恢复失败Microsoft ...。

示例备份文件原始内容

data
D:(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1200a9;;;BU)
data\readme.txt
D:(A;ID;FA;;;SY)(A;ID;FA;;;BA)
data\subdir
D:(A;OICI;0x1301bf;;;AU)(A;OICI;FA;;;SY)
  • 奇数行：对象相对路径
  • 偶数行：SDDL 字符串（仅 DACL 部分，以D:开头）
  • 不会出现 O:（Owner）、S:（SACL 审计），即使原对象有 SACL，icacls 直接丢弃，不写入。

二、SDDL 字符串内部拆解（文件第二行核心）

SDDL = Security Descriptor Definition Language，Windows 标准安全描述符语法；icacls 只序列化 DACL 部分，所以 SDDL 永远以D:开头。

D:(A;OICI;FA;;;SY)(A;ID;FA;;;BA)

分段拆解：

  1. D: = DACL（自主访问控制列表）起始标记
  2. (...) = 单个 ACE，多个 ACE 直接串联，无分隔符
  3. ACE 内部 5 个分号分隔字段格式：
(ACE类型;继承标志;权限掩码;;SID)
ACE 字段 含义
字段 1 ACE 类型 A= 允许 AccessAllowed；D= 拒绝 AccessDenied；无其他 ACE 类型（SACL 审计 ACE 不保存）
字段 2 继承标志 OI=Object inherit 对象继承；CI=Container inherit 容器继承；IO=Inherit Only 仅继承；NP=No Propagate 不传播继承；ID=Inherited ACE（从父继承而来）
字段 3 权限掩码 符号简写：FA 完全控制，GA 通用全部，GR 通用读，GW 通用写；也支持十六进制掩码如0x1200a9
字段 4 保留，固定为空
字段 5 SID：SY=System；BA=Builtin Administrators；BU=Builtin Users；AU=Authenticated Users；也可以直接写完整 SID S-1-5-21-xxxx

示例：(A;OICI;FA;;;SY)

  • A：允许 ACE
  • OICI：对象继承 + 容器继承（目录，子文件子文件夹继承本条 ACE）
  • FA：Full Access 完全控制
  • SY：NT AUTHORITY\System

三、icacls /save 写入逻辑（icacls.exe 内部工作流）

flowchart LR
A[icacls /save启动] --> B[遍历目录/文件 /T递归]
B --> C[调用GetNamedSecurityInfo读取SD]
C --> D[提取SD.DACL，丢弃SD.Owner、SD.Group、SD.SACL、MIC标签]
D --> E[将DACL序列化为SDDL字符串]
E --> F[计算对象相对路径，写入第一行]
F --> G[写入SDDL字符串第二行]
G --> H[循环直到遍历完成]
H --> I[输出UTF-16LE带BOM文件]

关键细节：

  1. 读取 SD 之后直接丢弃 Owner、SACL、MIC，备份文件不存在这三类信息。
  2. 继承标记ID会保留：标记这个 ACE 是继承来的 ACE，不是显式 ACE。
  3. icacls 读取 DACL 时自动按 Windows 规范排序 ACE：显式拒绝 → 显式允许 → 继承拒绝 → 继承允许；写入 SDDL 也是这个顺序。
  4. 遇到无法访问对象（权限不足、文件锁定）：/C参数时跳过，不写入该对象记录；无 /C 直接终止备份。

四、/restore 解析 & 应用逻辑（读取备份文件）

flowchart LR
A[icacls /restore 目标目录 aclfile] --> B[打开UTF-16LE文件，按两行一组循环读取]
B --> C[读取相对路径行 + SDDL行]
C --> D[拼接：目标目录 + 相对路径，得到完整对象路径]
D --> E[/substitute存在？替换SDDL内SID]
E --> F[解析SDDL字符串生成DACL]
F --> G[调用SetNamedSecurityInfo，只写入DACL]
G --> H[不修改Owner、SACL、MIC标签，原样保留原有对象Owner/SACL/MIC]

⚠️ 重大坑点：/restore 只覆盖 DACL；文件原来的所有者、SACL 审计规则、完整性标签保持原样，不会被恢复。不是完整安全描述符还原！

/substitute 参数作用（在 restore 阶段替换 SID）

icacls D:\newdir /restore acl.txt /substitute S-1-5-21-old S-1-5-21-new
  • 场景：迁移服务器，旧域 SID 更换，批量替换 SDDL 字符串内 SID。
  • 工作位置：icacls 读取 acl 文件之后、生成 DACL 之前，纯文本替换 SDDL 字符串中的 SID 文本，不是内核 SID 映射。

五、文件格式硬边界 & 坑清单（审计 / 红队重点）

  1. 不是完整 SD 备份：丢失 Owner、SACL、MIC 完整性标签。
    • 运维翻车场景：备份 ACL，恢复后文件所有者不对，审计 SACL 消失，MIC 低完整性标记丢失。
    • 完整 SD 备份要用 PowerShell Get-Acl | Export-Clixml，导出完整 SDDL（含 O/S 字段）。
  2. 相对路径绑定目录结构：移动备份到别的根目录，restore 会把权限施加到错误文件；迁移环境必须保持目录树结构一致。
  3. 编码强依赖 UTF-16LE BOM：手动编辑保存为 ANSI → icacls 解析失败。
  4. 仅支持 DACL：SDDL 里不会出现 S:（SACL），即使原文件有审计策略。
  5. 符号链接（/L）场景：/save /L 保存符号链接本身 ACL，不是目标文件 ACL；restore 时也要搭配 /L，否则恢复到链接指向的文件。
  6. WRP 受保护文件：即使 restore 写入 DACL 成功，Windows 资源保护会自动回滚 SD，权限不持久。
  7. 不校验文件是否存在：acl 文件内记录的文件如果已经删除，restore 直接跳过该记录，不报错。

六、红队 / 安全审计视角利用面

  1. 信息收集：/save导出的 acl 文件，可批量离线解析所有对象 DACL，快速定位WRITE_DAC / WRITE_OWNER / Everyone:F高危 ACE，不需要在线反复 icacls 查询。
  2. SDDL 篡改：修改 acl 文件 SDDL 字符串，写入恶意 ACE，restore 时给低权限用户添加WRITE_DAC；前提：restore 执行账号具备目标对象WRITE_DAC权限。

    注意：修改后必须保证文件编码 UTF16LE BOM，否则 icacls 拒绝读取。

  3. SID 替换：/substitute参数用于横向迁移权限配置，红队可用于把旧主机 ACL 权限结构迁移到新机器。
  4. 取证边界：acl 备份文件不能作为完整安全描述符取证证据，缺少 Owner、SACL 审计配置，无法证明原始对象完整安全状态。

七、icacls 私有 save 格式 vs 标准 SDDL vs PowerShell Get-Acl

格式 保存内容 用途 标准性
icacls /save 文件 相对路径 + DACL (SDDL D:)；无 O/S/MIC icacls restore 专用 icacls 私有封装，内部 ACL 片段是标准 SDDL
纯 SDDL 字符串 O:OwnerG:GroupD:DACL S:SACL SetNamedSecurityInfo、PowerShell Windows 官方标准
PowerShell Get-Acl 完整 SD 对象，Owner+Group+DACL+SACL+MIC 完整 SD 备份、取证 .NET 安全对象模型

八、简易解析器伪代码（理解结构）

# icacls /save 文件解析伪代码（仅用于理解结构）
# 读取 UTF16LE BOM
with open("acl.txt","r",encoding="utf-16") as f:
    lines = [line.rstrip("\n") for line in f]

for i in range(0, len(lines), 2):
    rel_path = lines[i]
    sddl_d = lines[i+1]
    print(f"对象路径：{rel_path}")
    print(f"DACL SDDL：{sddl_d}")

icacls 安全审计 + 提权利用面完整清单

前置说明：icacls 本身不是漏洞程序，它只是调用 Windows 安全 API 读取 / 修改 NTFS 安全描述符；所有利用面本质是文件 / 目录 DACL 配置错误，icacls 只是用来发现、修改错误 ACL 的工具。

适用：红队本地权限枚举、蓝队基线审计、Windows 主机权限风险核查。

核心原理：高权限服务 / 计划任务 / 二进制 / 配置文件，普通用户拥有 WRITE_DAC / WRITE_OWNER / 写入权限 → 篡改 ACL → 写入恶意代码 → 高权限执行

一、审计枚举命令清单（icacls 用于发现风险）

:: 单个文件查看ACL
icacls "C:\path\target.exe"

:: 递归扫描目录，输出所有文件ACL（审计用）
icacls "C:\Programs\VulnDir" /T

:: 保存ACL备份（仅DACL，注意局限！不保存Owner/SACL）
icacls "C:\VulnDir" /save C:\acl_backup.txt /T

:: 恢复ACL
icacls "C:\VulnDir" /restore C:\acl_backup.txt

审计重点关键词（看到下面权限标记即为高危）

  • (W) 写入
  • (M) 修改
  • (F) 完全控制
  • (OI)(CI) 对象继承、容器继承（子文件 / 目录继承该权限）
  • WRITE_DAC：用户可修改 ACL 本身（最高危）
  • WRITE_OWNER：用户可修改文件所有者

二、高危 ACL 权限风险面（提权利用分类）

1）目标文件 / 目录：普通用户拥有 WRITE_DAC

风险等级：P0（最高危，一键可控）

  • 含义：当前用户可以直接修改该对象的 DACL 访问控制列表。
  • 利用链路：
    1. icacls 读取，确认低权限用户有 WRITE_DAC
    2. icacls /grant 当前用户：F → 给自己授予完全控制权限
    3. 覆盖文件、写入后门、修改配置
    4. 等待高权限进程（服务 / 计划任务）加载执行
  • 边界：需要对象的 READ_CONTROL + WRITE_DAC，不需要修改所有者；
  • 注意：WRP 受保护文件（TrustedInstaller），即使改 ACL，系统会自动回滚，无法持久利用。

2）目标文件 / 目录：普通用户拥有 WRITE_OWNER

风险等级：P0

  • 含义：当前用户可以修改文件所有者。
  • 利用链路：
    1. icacls 发现低权限用户拥有 WRITE_OWNER
    2. icacls /setowner % username% → 夺取所有权
    3. 拿到所有权后，授予自己完全控制权限
    4. 篡改文件，触发高权限执行
  • 边界：修改所有者需要 SeRestorePrivilege 或者对象上 WRITE_OWNER；管理员默认有 SeTakeOwnershipPrivilege，普通用户默认没有。

3）可写服务二进制文件（服务 EXE/DACL 过宽）

风险等级：P1，Windows 本地提权最经典场景

  • 审计特征：服务对应的 exe，普通用户拥有 M / W / F，且服务启动账户为 LocalSystem / NT Authority\System / 管理员
  • 利用链路：
    1. icacls "C:\VulnSvc\service.exe" → 确认普通用户可写入
    2. 备份原 exe，替换为恶意 exe
    3. net stop vulnsvc && net start vulnsvc 重启服务，恶意代码以 System 执行
  • 坑点边界：
    • 服务有文件锁定：正在运行时无法覆盖；需要停止服务。
    • 服务重启依赖：若服务设置为自动且不能手动重启，需要等待机器重启才能触发。
    • 服务权限：即使文件可写，如果sc sdshow服务对象本身 DACL 禁止普通用户停止 / 启动服务，无法手动触发。

区分两个 ACL：文件 NTFS ACL（icacls 查看） ≠ Windows 服务对象 SD（sc sdshow），二者独立！icacls 看不到服务本身安全描述符。

4）服务配置文件、加载的 DLL、插件目录 可写

风险等级：P1（DLL 劫持类前置条件）

  • 审计特征：服务 / 高权限程序搜索 DLL 的目录，普通用户拥有写入权限；或者程序读取的 xml/ini 配置文件可写。
  • 场景：程序会从当前目录加载 DLL；当前目录普通用户可写入。
  • icacls 审计目标：程序目录、依赖 DLL 路径、配置文件。
  • 边界：需要满足 DLL 劫持查找顺序；程序必须尝试加载不存在的 DLL。icacls 只负责确认目录写入权限，不能判断 DLL 加载逻辑。

5）计划任务对应的执行文件 / 目录 低权限可写

风险等级：P1

  • 审计：schtasks /query /fo table 找到计划任务，拿到执行路径，icacls 检查该路径权限。
  • 利用：替换任务脚本 / EXE，等待计划任务以高权限账户自动运行。
  • 边界：计划任务本身还有任务对象 SD，保存在注册表，icacls 无法读取；只能管文件 ACL。

6）目录可写 + 继承标志 (OI)(CI) 过度开放

风险等级：P2

  • 审计：目录 ACL 带有 (OI)(CI)，给 Everyone/Authenticated Users 授予 W/M/F。
  • 含义：后续新建的所有文件、子目录自动继承这个宽松权限。
  • 攻击面：攻击者可在该目录新建文件，等待高权限进程读写这个目录下文件。
  • 典型案例：C:\Temp、应用程序日志目录，配置备份目录开放 OI/CI 继承。
  • 蓝队要点：目录继承是最容易被忽略的错误配置；icacls /inheritance:r 可移除继承。

7）备份文件、导出 ACL 文件（/save 生成的 acl 文本）信息泄露

风险等级：P2

  • icacls /save 导出的 acl 文件包含所有 DACL ACE 条目，可用于内网信息收集，快速定位所有可写文件。
  • 边界：仅 DACL，无 Owner、SACL；不能直接用于提权，属于情报收集。

8）符号链接（/L 参数场景）ACL 劫持

风险等级：P2

  • icacls 默认操作符号链接指向的目标文件；加 /L 才操作符号链接本身。
  • 攻击场景：普通用户可以创建符号链接，高权限进程访问符号链接，修改目标对象。
  • 审计：icacls /L "C:\link" 查看符号链接本身 ACL。
  • 边界：Windows 10 + 默认开启符号链接安全限制，普通用户创建符号链接需要特定特权 SeCreateSymbolicLinkPrivilege，默认不授予普通用户。

9）完整性级别（MIC）绕过与审计

风险等级：P3（UAC / 低完整性隔离）

  • icacls 可以查看 / 设置文件完整性标签：icacls file.exe /setintegritylevel Low/Medium/High
  • 原理：强制完整性控制，低完整性进程不能写入高完整性对象。
  • 利用场景：
    • 高完整性文件错误设置为 Low 完整性，低完整性进程可以写入。
    • 红队：给后门设置 Low 完整性，规避部分保护；
  • 边界：MIC 是强制访问控制，独立于 DACL；DACL 允许但 MIC 阻止访问，反过来 DACL 拒绝，MIC 无效。

10）Everyone / Authenticated Users 授予完全控制 (F) 修改 (M)

风险等级：P2，最常见基线错误

  • icacls 输出看到 Everyone:(F) / Authenticated Users:(M)
  • 适用：任何高权限程序、服务、脚本、注册表对应的文件。
  • 边界：共享权限和 NTFS ACL 叠加，最终有效权限取交集；icacls 看不到 SMB 共享权限。

11）SeTakeOwnershipPrivilege 配合 icacls /setowner 提权链路

风险等级：P1，特权滥用

  • 若当前令牌有 SeTakeOwnershipPrivilege，可以夺取任意对象所有权，无视原有 DACL。
  • 链路：
    1. whoami /priv 查看特权启用状态
    2. takeown /f target.exe
    3. icacls target.exe /grant %username%:F
  • 边界：特权默认可能禁用，需要程序启用；普通用户默认没有这个特权。

三、icacls 审计红队检查清单（逐条检查）

  1. ✅ 查找所有服务可执行文件，icacls 校验是否低权限用户可写
  2. ✅ 查找计划任务执行程序 / 脚本路径，校验 NTFS ACL
  3. ✅ 查找 Web 应用目录，检查是否 OI/CI 继承开放写入权限
  4. ✅ 查找软件插件目录、DLL 搜索目录，检查写入权限
  5. ✅ 查找日志、临时目录、备份目录，检查 Everyone/Authenticated Users 权限
  6. ✅ 查找是否存在文件 / 目录授予普通用户 WRITE_DAC / WRITE_OWNER
  7. ✅ 检查系统关键目录（C:\Windows\System32 等）是否 ACL 异常宽松
  8. ✅ 检查应用配置文件、数据库备份文件是否开放 ACL
  9. ✅ 审计符号链接对象 ACL（icacls /L）
  10. ✅ 审计文件完整性级别 MIC，是否存在高价值对象完整性标签过低

四、利用边界 & 不能做的事（重要避坑）

  1. ❌ icacls 不能修改 SACL（审计 ACE）；无法操作对象审计规则。
  2. ❌ icacls 不能修改注册表项 ACL（注册表是内核对象，不是文件对象，需要 regini.exe/ PowerShell）。
  3. ❌ icacls 不能修改服务对象本身安全描述符（sc sdshow / sc sdset）。
  4. ❌ icacls 不能绕过 NT 内核安全监视器 SeAccessCheck，只能修改存储在 MFT 里的 SD 规则。
  5. ❌ WRP Windows 资源保护文件：即使 icacls 修改成功，系统会自动还原 SD，无法持久篡改。
  6. ❌ 无法绕过 SeSecurityPrivilege、SeBackupPrivilege 这类特权的特殊访问旁路（备份特权可绕过 DACL 读取）。
  7. ❌ /save 导出 ACL 不包含 Owner、SACL、完整性标签；恢复后权限不完整，容易造成权限故障。

五、蓝队检测 / 加固清单

  1. 定期递归审计关键目录 ACL，告警出现 Everyone:(F/M/W)、Authenticated Users:(F/M)
  2. 禁止普通用户对服务二进制拥有 WRITE_DAC / WRITE_OWNER
  3. 清理不必要的 (OI)(CI) 继承标记，最小权限原则
  4. 监控 icacls.exe/takeown.exe 进程行为：参数包含 /grant /setowner /inheritance:r /restore，属于高风险行为告警
  5. 对服务文件、计划任务脚本设置审计 SACL（icacls 不能做，使用 PowerShell），监控文件修改事件
  6. 禁用普通用户 SeTakeOwnershipPrivilege、SeRestorePrivilege

六、简易利用 PoC（本地提权示例）

:: 1. 查看目标服务文件ACL
icacls "C:\VulnSvc\service.exe"

:: 2. 若当前用户有WRITE_DAC，给自己授予完全控制
icacls "C:\VulnSvc\service.exe" /grant %username%:F

:: 3. 替换恶意exe
copy C:\backdoor.exe "C:\VulnSvc\service.exe" /Y

:: 4. 重启服务触发System权限执行
net stop VulnService
net start VulnService

NTFS DACL 访问掩码权限矩阵（icacls / SDDL 专用）

底层：ACCESS_MASK 是 32 位无符号整型位图；ACE 里可以写十六进制掩码，也可以写 SDDL 双字母缩写；icacls 两种写法都支持。

安全审计重点标记：WRITE_DAC / WRITE_OWNER 是 P0 高危提权位。

掩码分为三大块：对象特定权限 (bit0~15)｜标准权限 (bit16~23)｜通用高位 (bit28~31)

一、NTFS 文件 / 目录 对象特定权限（bit0~15）

SDDL 缩写 常量名 十六进制 含义 红队审计备注
RD FILE_READ_DATA / FILE_LIST_DIRECTORY 0x0001 读文件数据 / 列出目录内容 读文件内容
WD FILE_WRITE_DATA / FILE_ADD_FILE 0x0002 写入数据 / 在目录新建文件 可覆盖文件
AD FILE_APPEND_DATA / FILE_ADD_SUBDIRECTORY 0x0004 追加数据 / 创建子目录 追加日志、新建子文件夹
REA FILE_READ_EA 0x0008 读取扩展属性 很少用
WEA FILE_WRITE_EA 0x0010 写入扩展属性 很少用
X FILE_EXECUTE / FILE_TRAVERSE 0x0020 执行文件 / 遍历目录 目录遍历权限，无此权限无法进入子目录
DC FILE_DELETE_CHILD 0x0040 删除子对象（目录专用） 目录可删除里面所有子文件
RA FILE_READ_ATTRIBUTES 0x0080 读取文件基础属性  
WA FILE_WRITE_ATTRIBUTES 0x0100 修改文件属性（只读 / 隐藏） 修改文件属性

二、标准对象权限（所有 Windows 可保护对象通用 bit16~23，提权核心位）

SDDL 缩写 常量名 十六进制 含义 风险等级
DE DELETE 0x00010000 删除对象 P2
RC READ_CONTROL 0x00020000 读取 SD (DACL/Owner)，读取 ACL 必备 基础，低危
WDAC WRITE_DAC 0x00040000 修改 DACL（更改权限） P0 最高危！拿到可给自己授予完全控制
WO WRITE_OWNER 0x00080000 修改对象所有者 P0 高危！夺取所有权
S SYNCHRONIZE 0x00100000 同步对象等待 文件对象几乎默认带上
AS ACCESS_SYSTEM_SECURITY 0x01000000 读写 SACL 审计 ACL 需要 SeSecurityPrivilege；icacls 无法操作 SACL

注意：WDAC 在 SDDL 字符串里简写为 WD；WO简写WO，icacls 命令行参数写全称WDAC,WO。

三、通用权限（高位 31~28，Generic 映射，内核自动翻译成上面具体权限）

SDDL 缩写 常量名 十六进制 含义
GR GENERIC_READ 0x80000000 通用读（自动映射为 RD,REA,RA,RC,S）
GW GENERIC_WRITE 0x40000000 通用写
GE GENERIC_EXECUTE 0x20000000 通用执行
GA GENERIC_ALL 0x10000000 通用全部权限

⚠️ 重要：通用高位掩码不会直接保存在文件 SD 里！ Windows 内核打开对象时，自动把 Generic 位翻译成对应文件对象的具体权限位。所以 icacls /save 导出 SDDL 看到的都是展开后的具体掩码，极少直接出现 GA/GR/GW。

四、icacls 预组合基础权限（最常用，SDDL 十六进制聚合掩码）

icacls 简写 掩码值 名称 包含权限集合
R 0x120089 只读 RD,REA,RA,RC,S
RX 0x1200A9 读取和执行 RD,REA,RA,X,RC,S
M 0x1301BF 修改 RD,WD,AD,REA,WEA,X,RA,WA,DE,RC,S
F 0x1F01FF 完全控制（FA） M + WDAC + WO（P0 高危两个位全部包含）
W 0x100116 只写 WD,AD,WEA,WA,RC,S

✅ 审计关键点：F 完全控制自带 WRITE_DAC + WRITE_OWNER；只要低权限用户 ACE 带 F，直接高危。 M（修改） 不含 WDAC、WO：只能删改文件内容，不能修改 ACL、不能夺取所有权，风险低于 F。

五、继承标志（SDDL ACE 内第二位，不属于访问掩码，icacls 审计必看）

SDDL 标记 全称 含义
OI ObjectInherit 对象继承：子文件继承本条 ACE
CI ContainerInherit 容器继承：子目录继承本条 ACE
IO InheritOnly 仅继承，本对象不生效，只传给子对象
NP NoPropagateInherit 不传播继承：只传给直接子一级，孙子级不再继承
ID Inherited 本条 ACE 是从父目录继承而来，不是显式 ACE

示例 ACE：(A;OICI;M;;;AU)

  • A：允许；OICI：OI+CI；M：修改权限；AU：Authenticated Users 已认证用户。

六、风险判定矩阵（红队审计快速判断）

ACE 拥有权限 可执行动作 提权风险等级
WRITE_DAC (WDAC) 修改 DACL，给自己加 F 权限 P0 可直接提权
WRITE_OWNER (WO) 修改所有者，拿到所有权后添加权限 P0 可直接提权
F (完全控制) 包含 WDAC+WO，可任意篡改 SD P0
M (修改) / W 覆盖、删除文件内容；不能改 ACL P1（DLL 劫持 / 替换二进制提权）
RX / R 仅读、执行，不可写文件 P3 低风险

七、实战 SDDL 解析示例（来自 icacls /save）

D:(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1301bf;;;AU)

拆解：

  1. D: = DACL 开始
  2. (A;OICI;FA;;;SY)：允许，OI+CI 继承，完全控制，SY (NT AUTHORITY\System)
  3. (A;OICI;FA;;;BA)：允许，OI+CI 继承，完全控制，BA (Builtin Administrators)
  4. (A;OICI;0x1301bf;;;AU)：允许，OI+CI 继承，掩码0x1301bf = M（修改权限），AU (Authenticated Users)

含义：所有已认证用户，对此目录及子文件拥有修改权限（可以覆盖 EXE，但不能修改 ACL）。

八、边界 & 常见误区

  1. M(修改) ≠ F(完全控制) M 没有 WDAC/WO；只能改文件内容，不能修改 ACL / 夺取所有权，很多审计人员踩坑混淆。
  2. READ_CONTROL(RC) 是读取 ACL 的前提；没有 RC，即使有 WDAC 也无法读取原有 DACL。
  3. 掩码是位或叠加：0x00040000 | 0x00080000 = 0x000C0000，同时拥有 WDAC+WO。
  4. SACL 的 AS(0x01000000) icacls 完全不处理，/save不会保存。
  5. 有效权限！= ACE 简单叠加；Windows 内核 SeAccessCheck 计算有效权限时，显式拒绝 ACE 优先级高于所有允许 ACE。

九、PowerShell 快速解析掩码脚本（审计用）

# 读取文件SD，解析DACL访问掩码
$path="C:\test.exe"
$acl = Get-Acl $path
$acl.Access | Select-Object FileSystemRights,AccessControlType,IdentityReference

SDDL + NTFS 文件对象 ACCESS_MASK 完整对照表（十六进制权限位）

基础说明

  • ACCESS_MASK：32 位无符号整数，0x00000000 ~ 0xFFFFFFFF
  • 结构划分：
    • Bits 0–15：对象特定权限（File/Directory）
    • Bits 16–23：标准安全权限（所有可保护对象通用，提权重点）
    • Bits 24–27：保留
    • Bits 28–31：Generic 通用权限（GR/GW/GE/GA，内核运行时映射，不持久存入 SD）
  • SDDL 支持两种写法：符号缩写（R, M, F, RD, WD, WDAC, WO） 或原始十六进制掩码
  • 一条 ACE 权限 = 多个权限位做按位或（bitwise OR）合并

一、Bits 0–15｜NTFS 文件 / 目录对象专属权限位

Bit SDDL 缩写 C 常量名 十六进制 含义 备注
0 RD FILE_READ_DATA / FILE_LIST_DIRECTORY 0x0001 读文件数据 / 列出目录内容 文件读 / 目录列表
1 WD FILE_WRITE_DATA / FILE_ADD_FILE 0x0002 写入文件 / 在目录新建文件 覆盖写入
2 AD FILE_APPEND_DATA / FILE_ADD_SUBDIRECTORY 0x0004 文件追加 / 创建子目录 日志追加、新建文件夹
3 REA FILE_READ_EA 0x0008 读取扩展属性 NTFS EA，极少使用
4 WEA FILE_WRITE_EA 0x0010 写入扩展属性 极少使用
5 X FILE_EXECUTE / FILE_TRAVERSE 0x0020 执行文件 / 遍历目录 目录无此权限无法进入子文件夹
6 DC FILE_DELETE_CHILD 0x0040 删除子对象（仅目录） 目录可删除其内文件 / 子目录
7 RA FILE_READ_ATTRIBUTES 0x0080 读取文件基础属性 只读、隐藏、时间戳等
8 WA FILE_WRITE_ATTRIBUTES 0x0100 修改文件属性 修改只读 / 隐藏标记
9–15 — — 0x0200 ~ 0x8000 保留 文件对象未使用

二、Bits 16–23｜标准权限（通用安全权限，红队提权核心）

Bit SDDL 缩写 C 常量名 十六进制 含义 风险等级
16 DE DELETE 0x00010000 删除该对象 P2
17 RC READ_CONTROL 0x00020000 读取安全描述符 (DACL/Owner) 读取 ACL 必备基础权限
18 WDAC WRITE_DAC 0x00040000 修改 DACL 访问控制列表 P0 最高危，可给自己授予完全控制
19 WO WRITE_OWNER 0x00080000 修改对象所有者 P0 高危，夺取所有权
20 S SYNCHRONIZE 0x00100000 同步等待对象 文件对象 ACE 几乎默认携带
21–23 — — 0x00200000 ~ 0x00800000 保留  
24 AS ACCESS_SYSTEM_SECURITY 0x01000000 读写 SACL 审计 ACL 需要SeSecurityPrivilege，icacls 不支持操作 SACL

重点：SDDL 字符串里写 WDAC；icacls 命令行参数也接受 WDAC。

三、Bits 28–31｜Generic 通用权限（运行时映射，不会持久保存在 SDDL/icacls/save 输出）

Bit SDDL 缩写 C 常量名 十六进制 内核映射规则（文件对象）
31 GR GENERIC_READ 0x80000000 RD | REA | RA | RC | S
30 GW GENERIC_WRITE 0x40000000 WD | AD | WEA | WA | RC | S
29 GE GENERIC_EXECUTE 0x20000000 RD | X | RA | RC | S
28 GA GENERIC_ALL 0x10000000 全部对象权限 + 标准权限

⚠️ 重要： 当你调用 API 设置 GENERIC_READ，Windows 会自动转换成对应的具体权限位存入 SD； 所以 icacls /save 导出 SDDL 里几乎看不到 GR/GW/GE/GA，只会看到展开后的掩码。

四、icacls 内置预组合权限（符号简写 ↔ 十六进制掩码 ↔ 权限位构成）

icacls grant 参数、SDDL 都可以直接使用简写 R / RX / M / F / W。

icacls 简写 十六进制掩码 权限位按位或组合 说明
R 0x120089 RD | REA | RA | RC | S 只读
RX 0x1200A9 RD | REA | RA | X | RC | S 读取和执行
M 0x1301BF RD | WD | AD | REA | WEA | X | RA | WA | DE | RC | S 修改；不含 WDAC、WO
F (FA) 0x1F01FF RD|WD|AD|REA|WEA|X|DC|RA|WA|DE|RC|WDAC|WO|S 完全控制；包含 WDAC+WO P0 高危位
W 0x100116 WD | AD | WEA | WA | RC | S 只写

校验示例

M = 0x1301BF 0x0001 | 0x0002 | 0x0004 | 0x0008 | 0x0010 | 0x0020 | 0x0080 | 0x0100 | 0x00010000 | 0x00020000 | 0x00100000 = 0x1301BF

五、SDDL ACE 完整格式回顾（方便对照掩码）

(ACE类型;继承标志;权限掩码;;SID)

示例：

(A;OICI;0x1301bf;;;AU)
  • A = AccessAllowed 允许 ACE
  • OICI = OI+CI，对象继承 + 容器继承
  • 0x1301bf = 十六进制掩码，等价于 M 修改权限
  • 第四字段保留为空
  • AU = Authenticated Users（已认证用户 SID 缩写）

也可以写成符号版本：(A;OICI;M;;;AU)，二者等价。

六、继承标志（不属于访问掩码，SDDL ACE 第二个字段）

标记 全称 说明
OI ObjectInherit 对象继承，子文件继承 ACE
CI ContainerInherit 容器继承，子目录继承 ACE
IO InheritOnly 仅继承；本条 ACE不在当前对象生效，只传给子对象
NP NoPropagateInherit 不传播继承；只传给直接子一级，孙子不再继承
ID Inherited ACE 是从父目录继承而来，不是显式 ACE

七、SDDL 内置 SID 缩写对照表（SDDL ACE 末尾字段）

SDDL 缩写 SID 主体名称
SY S-1-5-18 NT AUTHORITY\SYSTEM
BA S-1-5-32-544 Builtin\Administrators
BU S-1-5-32-545 Builtin\Users
AU S-1-5-11 Authenticated Users
AN S-1-5-7 Anonymous
WD S-1-1-0 Everyone

八、审计快速判定规则（掩码位检查）

  1. 掩码 & 0x00040000（WDAC）≠0 → 具备修改 DACL 权限，P0 高危
  2. 掩码 & 0x00080000（WO）≠0 → 具备修改所有者权限，P0 高危
  3. 掩码 & (0x00040000|0x00080000) ≠0 → 可直接修改 SD，提权面极大
  4. 掩码 == 0x1F01FF → F 完全控制（自带 WDAC+WO）
  5. 掩码 == 0x1301BF → M 修改，无 WDAC/WO，仅能篡改文件内容（P1 提权面：DLL 劫持、替换服务 EXE）

九、边界与常见踩坑

  1. 掩码是位或叠加，不是简单相加；判断权限必须用按位与 &，不能用相等判断。
  2. AS (0x01000000) 是 SACL 审计 ACE 的权限，不在 DACL 中生效，icacls 不处理 SACL。
  3. 有效权限 = 内核 SeAccessCheck 算法计算，不是简单叠加所有 ACE；显式拒绝 ACE 优先级最高。
  4. 目录和文件是同一套掩码常量，但语义不同：FILE_LIST_DIRECTORY 仅对目录生效，FILE_READ_DATA 仅对文件生效。

十、PowerShell 掩码解析小脚本（审计用，输入十六进制掩码，输出拥有哪些权限）

function Parse-AccessMask {
    param([Parameter(Mandatory)] [string]$HexMask)
    $mask = [Convert]::ToUInt32($HexMask,16)
    $perms = @()
    if ($mask -band 0x0001) { $perms += "RD FILE_READ_DATA" }
    if ($mask -band 0x0002) { $perms += "WD FILE_WRITE_DATA" }
    if ($mask -band 0x0004) { $perms += "AD FILE_APPEND_DATA" }
    if ($mask -band 0x0008) { $perms += "REA FILE_READ_EA" }
    if ($mask -band 0x0010) { $perms += "WEA FILE_WRITE_EA" }
    if ($mask -band 0x0020) { $perms += "X FILE_EXECUTE/FILE_TRAVERSE" }
    if ($mask -band 0x0040) { $perms += "DC FILE_DELETE_CHILD" }
    if ($mask -band 0x0080) { $perms += "RA FILE_READ_ATTRIBUTES" }
    if ($mask -band 0x0100) { $perms += "WA FILE_WRITE_ATTRIBUTES" }
    if ($mask -band 0x00010000) { $perms += "DE DELETE" }
    if ($mask -band 0x00020000) { $perms += "RC READ_CONTROL" }
    if ($mask -band 0x00040000) { $perms += "WDAC WRITE_DAC [P0]" }
    if ($mask -band 0x00080000) { $perms += "WO WRITE_OWNER [P0]" }
    if ($mask -band 0x00100000) { $perms += "S SYNCHRONIZE" }
    if ($mask -band 0x01000000) { $perms += "AS ACCESS_SYSTEM_SECURITY" }
    return $perms
}

# 使用示例
Parse-AccessMask "1301BF"
Parse-AccessMask "1F01FF"

SDDL 完整语法手册（微软官方规范｜ACE 类型 / 标志 / 权限 / SID 缩写）

SDDL：Security Descriptor Definition Language，安全描述符定义语言，Windows 原生文本化 SD 描述格式。

适用：icacls /save、PowerShell Get-Acl/Set-Acl、Win32 API ConvertSecurityDescriptorToStringSecurityDescriptor。

整体 SD 顶层结构：

O:<OwnerSID>G:<PrimaryGroupSID>D:<DACL>S:<SACL>
  • O: Owner 对象所有者
  • G: Primary Group 主组（NTFS 极少使用）
  • D: DACL 自主访问控制列表（icacls 仅操作 D: 部分）
  • S: SACL 系统审计 ACL（icacls 完全不读写）

一、ACE 标准语法（6 字段，分号分隔）

(Type;Flags;Permissions;ObjectGUID;InheritObjectGUID;TrusteeSID)
  1. Type：ACE 类型（A/D/AU/ML 等）
  2. Flags：继承标志 + 审计标志（OI CI IO NP ID P AI）
  3. Permissions：权限掩码；支持符号缩写 (F,M,RX,WDAC) 或十六进制0x1301bf
  4. ObjectGUID：对象类型 GUID（仅 Object ACE，普通文件 ACE 留空）
  5. InheritObjectGUID：继承对象 GUID（仅 Object ACE，普通文件 ACE 留空）
  6. TrusteeSID：受托人 SID，可以是 SDDL 简写（SY,BA,AU）或完整 SID 字符串S-1-5-11

NTFS 文件 / 目录普通 ACE 示例：

(A;OICI;M;;;AU)
  • A：允许 ACE；OICI：OI+CI；M：修改权限；第 4/5 字段空；AU=Authenticated Users

二、ACE Type 全表（SDDL ACE 类型字符串）

DACL 里常用：A / D；SACL 里常用 AU / ML；OA/OD 为对象专用 ACE（AD、注册表）Microsoft ...

SDDL 标记 ACE 类型名称 内核常量 归属 ACL 说明
A AccessAllowed ACCESS_ALLOWED_ACE_TYPE DACL 允许访问（最常用）
D AccessDenied ACCESS_DENIED_ACE_TYPE DACL 拒绝访问，优先级高于允许 ACE
OA Object Access Allowed ACCESS_ALLOWED_OBJECT_ACE_TYPE DACL 对象型允许 ACE，带 ObjectGUID，AD/COM 对象
OD Object Access Denied ACCESS_DENIED_OBJECT_ACE_TYPE DACL 对象型拒绝 ACE
XA Callback Access Allowed ACCESS_ALLOWED_CALLBACK_ACE_TYPE DACL 回调允许 ACE，带条件表达式（Win7+）
XD Callback Access Denied ACCESS_DENIED_CALLBACK_ACE_TYPE DACL 回调拒绝 ACE
AU System Audit SYSTEM_AUDIT_ACE_TYPE SACL 审计 ACE，访问触发日志
AL System Alarm SYSTEM_ALARM_ACE_TYPE SACL 告警 ACE，现代 Windows 基本废弃
OU Object System Audit SYSTEM_AUDIT_OBJECT_ACE_TYPE SACL 对象审计 ACE
OL Object System Alarm SYSTEM_ALARM_OBJECT_ACE_TYPE SACL 对象告警 ACE，废弃
ML Mandatory Label SYSTEM_MANDATORY_LABEL_ACE_TYPE SACL 强制完整性标签 MIC（icacls /setintegritylevel 操作）
XU Callback Audit SYSTEM_AUDIT_CALLBACK_ACE_TYPE SACL 回调审计 ACE
ZA Callback Object Access Allowed ACCESS_ALLOWED_CALLBACK_OBJECT_ACE_TYPE DACL 对象回调允许 ACE
ZD Callback Object Access Denied ACCESS_DENIED_CALLBACK_OBJECT_ACE_TYPE DACL 对象回调拒绝 ACE

红队 /icacls 重点：ML 完整性标签属于 SACL，不在 DACL 内，icacls /save 不保存 ML

三、ACE Flags 标志位全表（第二个字段）

分为两类：继承标志（文件目录 ACL 高频）、SACL 审计标志Microsoft ...

继承标志（DACL ACE）

标记 全称 含义
OI ObjectInherit 对象继承：子文件继承本条 ACE
CI ContainerInherit 容器继承：子目录继承本条 ACE
IO InheritOnly 仅继承：本条 ACE不对当前对象生效，仅传给子对象
NP NoPropagateInherit 不传播继承：仅直接子一级生效，孙子层级不再继承
ID Inherited ACE 是从父目录继承而来，不是显式 ACE（icacls /save 会保留 ID 标记）

SD 顶层 ACL 保护标志（写在 D: / S: 后面，不是 ACE 内）

标记 全称 含义
P Protected 受保护 ACL，阻止从父对象继承 ACE（等价icacls /inheritance:r）
AI AutoInherited 自动继承生成的 ACL
AR AutoInheritReq 需要自动继承

示例：D:P(A;;FA;;;SY)

  • D:P：DACL 受保护，禁止父继承；后面(A;;FA;;;SY)显式 ACE

四、SDDL 权限缩写表（第三字段，NTFS 文件对象）

和前面掩码表一一对应，可以混合使用多个缩写，也可以直接写十六进制掩码。

文件对象独立权限

SDDL 常量 Hex
RD FILE_READ_DATA 0x0001
WD FILE_WRITE_DATA 0x0002
AD FILE_APPEND_DATA 0x0004
REA FILE_READ_EA 0x0008
WEA FILE_WRITE_EA 0x0010
X FILE_EXECUTE / FILE_TRAVERSE 0x0020
DC FILE_DELETE_CHILD 0x0040
RA FILE_READ_ATTRIBUTES 0x0080
WA FILE_WRITE_ATTRIBUTES 0x0100

标准通用权限（所有安全对象，提权重点）

SDDL 常量 Hex 风险
DE DELETE 0x00010000 P2
RC READ_CONTROL 0x00020000 基础
WDAC WRITE_DAC 0x00040000 P0 高危
WO WRITE_OWNER 0x00080000 P0 高危
S SYNCHRONIZE 0x00100000 默认携带
AS ACCESS_SYSTEM_SECURITY 0x01000000 SACL 读写，需要 SeSecurityPrivilege

icacls 预组合简写（SDDL 原生支持）

SDDL 掩码 名称
FA 0x1F01FF FILE_ALL_ACCESS 完全控制（含 WDAC+WO）
FR 0x120089 FILE_GENERIC_READ 只读 (R)
FW 0x100116 FILE_GENERIC_WRITE 只写 (W)
FX 0x1200A9 FILE_GENERIC_EXECUTE 读取和执行 (RX)

Generic 通用权限（运行时映射，不持久存入 SD）

SDDL 常量 Hex
GR GENERIC_READ 0x80000000
GW GENERIC_WRITE 0x40000000
GE GENERIC_EXECUTE 0x20000000
GA GENERIC_ALL 0x10000000

示例权限字段写法：

  • FA：完全控制
  • 0x1301bf：修改权限 M
  • WDAC,WO,RC：组合权限，具备修改 ACL + 修改所有者 + 读取 SD

五、Well-Known SID SDDL 缩写全表（ACE 最后一个字段 TrusteeSID）

可以直接写缩写，也可以写完整 SID 字符串，例如S-1-5-18等价SYMicrosoft ...

SDDL 缩写 SID 主体名称
SY S-1-5-18 NT AUTHORITY\SYSTEM 本地系统
LS S-1-5-19 NT AUTHORITY\LocalService
NS S-1-5-20 NT AUTHORITY\NetworkService
BA S-1-5-32-544 BUILTIN\Administrators 内置管理员组
BU S-1-5-32-545 BUILTIN\Users 内置用户组
BG S-1-5-32-546 BUILTIN\Guests 来宾组
BO S-1-5-32-547 Backup Operators 备份操作员
PO S-1-5-32-549 Printer Operators 打印操作员
SO S-1-5-32-550 Server Operators 服务器操作员
AO S-1-5-32-548 Account Operators 账户操作员
PU S-1-5-32-551 Power Users（Win10/11 权限弱化）
AU S-1-5-11 Authenticated Users 已认证用户
WD S-1-1-0 Everyone 所有人
AN S-1-5-7 Anonymous Logon 匿名登录
IU S-1-5-4 Interactive 用户交互式登录
NU S-1-5-2 Network 网络登录用户
CO S-1-3-0 Creator Owner 创建者所有者
CG S-1-3-1 Creator Group 创建者组
LA S-1-5-32-500 本地管理员账户 Administrator
LG S-1-5-32-501 本地来宾账户 Guest
DA S-1-5-21 - 域 ID-512 Domain Admins 域管理员
DU S-1-5-21 - 域 ID-513 Domain Users 域用户
DG S-1-5-21 - 域 ID-514 Domain Guests 域来宾
DC S-1-5-21 - 域 ID-515 Domain Computers 域计算机
DD S-1-5-21 - 域 ID-516 Domain Controllers 域控制器
ED S-1-5-21 - 域 ID-517 Enterprise Domain Controllers
AP S-1-5-21 - 域 ID-522 Protected Users 受保护用户（2012+）
AC S-1-15-2-1 All App Package 所有 UWP 应用包

自定义 SID 写法：直接写完整 SID 字符串，S-1-5-21-123456789-123456789-123456789-1001

六、完整 SDDL 示例解析（NTFS 目录）

O:BAG:SYD:(A;OICI;FA;;;SY)(A;OICI;FA;;;BA)(A;OICI;0x1301bf;;;AU)S:(AU;SA;FA;;;SY)

拆解：

  1. O:BA：Owner 为内置管理员组
  2. G:SY：主组为 System
  3. D:(A;OICI;FA;;;SY)：DACL，允许，OI+CI 继承，完全控制，SYSTEM
  4. D:(A;OICI;FA;;;BA)：允许，OI+CI 继承，完全控制，管理员组
  5. D:(A;OICI;0x1301bf;;;AU)：允许，OI+CI 继承，修改权限，已认证用户
  6. S:(AU;SA;FA;;;SY)：SACL 审计 ACE：SYSTEM 访问时审计

icacls /save 导出只会提取 D: 后面 DACL 部分，O、G、S 全部丢弃！

七、语法规则 & 审计边界

  1. ACE 排序规则（Windows 内核强制）：显式拒绝 ACE → 显式允许 ACE → 继承拒绝 ACE → 继承允许 ACE；icacls 写入 SDDL 自动重排 ACE 顺序。
  2. 拒绝 ACE 优先级高于允许 ACE；哪怕后面有允许 ACE，显式 D 拒绝会拦截访问。
  3. P保护标记：D:P 禁止父继承；icacls /inheritance:r 等价设置 D:P。
  4. ML 完整性标签属于 SACL，格式示例：S:(ML;;NX;;;LW) LW=Low 完整性；icacls 可读写 ML，但/save不保存。
  5. 十六进制掩码可以和符号缩写混用，SDDL 解析器自动合并位掩码。
  6. 域 SID 缩写依赖域环境；脱离域环境解析 SDDL，域 SID 缩写会解析失败，必须写完整 SID 字符串。

八、PowerShell SDDL 快速测试脚本

# SDDL字符串转为安全描述符对象
$sd = New-Object System.Security.AccessControl.RawSecurityDescriptor("D:(A;OICI;M;;;AU)")
# 遍历所有ACE
$sd.DiscretionaryAcl | Select-Object *

在 Windows 中，icacls （ Integrity Control Access Control Lists）。该命令用于显示、修改、备份或还原文件和目录的访问控制列表ACLs（ Access Control Lists）。它是 Windows 操作系统中一个重要的安全工具，用于管理文件和文件夹的权限设置。

SnowShot_2025-11-21_18-16-34SnowShot_2025-11-21_18-16-55SnowShot_2025-11-21_18-17-17SnowShot_2025-11-21_18-17-45

SnowShot_2025-11-21_18-08-45

SnowShot_2025-11-21_18-24-38

SnowShot_2025-11-21_18-32-01

icacls （ Integrity Control Access Control Lists） 是 Windows 操作系统中的一个命令行工具，用于显示、修改、备份和恢复文件和目录的访问控制列表（ACLs）。它允许管理员管理文件和文件夹的权限，包括为文件和文件夹分配特定用户和组的访问权限。ICACLS 命令自 Windows Vista 开始引入，取代了早期的CACLS（Change Access Control Lists） 和 XCACLS（Extended CACLS）工具。

以下是 icacls （ Integrity Control Access Control Lists） 在 Windows 中的发展时间线：

1. Windows XP 和 Windows Server 2003 之前：CACLS 和 XCACLS

在 Windows XP 和早期的 Windows Server 版本中，Windows 提供了两个主要的命令行工具来管理文件权限：

  • CACLS（Change Access Control Lists）: 用于显示和修改文件和目录的访问控制列表。
  • XCACLS（Extended CACLS）: 是一个扩展版的 CACLS，为用户提供了一些额外的功能，主要用于在网络环境中处理复杂的权限。

然而，这些工具在功能和灵活性上有一定限制，特别是在处理继承权限和高级 ACL 操作时。由于这些工具的功能较为基础，因此它们在处理复杂权限场景时可能不够强大和灵活。

2. Windows Vista 和 Windows Server 2008：ICACLS 引入

在 Windows Vista 和 Windows Server 2008 发布时，Microsoft 引入了 ICACLS 命令，作为一个更现代、更强大的 ACL 工具。ICACLS 被设计为取代 CACLS 和 XCACLS，并为管理员提供更多功能和灵活性。

主要变化包括：

  • 更强的权限继承管理: ICACLS 支持更细粒度的权限继承控制，可以轻松管理文件和文件夹的权限继承。
  • 支持备份和恢复 ACLs: ICACLS 允许将 ACL 配置备份并在需要时恢复。
  • 支持完整的权限管理: ICACLS 提供了比 CACLS 更全面的访问控制功能，例如支持修改继承设置、设置多个权限类型等。

示例命令：

bashCopy Code
icacls "C:\MyFolder" /grant UserName:(F)

该命令将为 UserName 用户授予 MyFolder 文件夹的完全控制权限。

3. Windows 7 和 Windows Server 2008 R2：增强的功能

在 Windows 7 和 Windows Server 2008 R2 中，ICACLS 保持了与 Windows Vista 中的一致性，并进行了一些优化和修复。例如，支持通过 /save 选项将 ACL 配置保存到一个文件中，以便后续恢复。

4. Windows 8 / 8.1 和 Windows Server 2012

Windows 8 和 Windows Server 2012 继续使用 ICACLS，并增加了对新的安全功能的支持，例如与 Windows Defender 和其他安全工具的集成。然而，ICACLS 本身在这两个版本中并没有进行重大的更新。

5. Windows 10 和 Windows Server 2016 之后

在 Windows 10 和 Windows Server 2016 中，ICACLS 继续存在，并且成为了管理文件权限的核心工具之一。尽管此版本的 Windows 引入了许多新的安全特性（例如用户账户控制 UAC 和增强的权限控制），ICACLS 命令依然是管理员管理文件权限的标准工具。

6. Windows 11 和 Windows Server 2022

Windows 11 和 Windows Server 2022 继续支持 ICACLS，尽管微软更倾向于使用图形化工具（如“文件资源管理器”中的权限设置）来管理 ACL。然而，对于高级用户和管理员来说，ICACLS 仍然是一个不可或缺的命令行工具，尤其是在批量文件权限管理和自动化任务中。

总结时间线：

  • Windows XP / Windows Server 2003 之前：使用 CACLS 和 XCACLS 工具。
  • Windows Vista / Windows Server 2008：引入 ICACLS，取代 CACLS 和 XCACLS，提供更强大的权限管理功能。
  • Windows 7 / Windows Server 2008 R2：ICACLS 保持一致并优化。
  • Windows 8 / Windows Server 2012：增强对新安全功能的支持。
  • Windows 10 / Windows Server 2016：继续支持 ICACLS，没有重大更新。
  • Windows 11 / Windows Server 2022：继续使用 ICACLS，并进一步集成到图形化工具中。

通过这一演变过程，ICACLS 成为 Windows 操作系统中处理文件和目录权限的主要工具之一，特别是在需要通过命令行批量管理权限时，它为系统管理员提供了强大而灵活的功能。

ICACLS 命令是 Windows 操作系统中用于管理文件和目录的访问控制列表（ACL）的工具，能够显示、修改、备份和恢复文件或文件夹的权限。它的功能相当强大，允许用户详细控制文件权限、继承关系以及访问控制列表的备份和恢复等。

ICACLS 命令的基本语法

bashCopy Code
ICACLS <文件/文件夹路径> [操作] [参数]
  • 文件/文件夹路径：指定要操作的文件或文件夹。
  • 操作：表示所要执行的操作，如设置权限、显示权限等。
  • 参数：根据操作的不同，可能有不同的参数。

ICACLS 命令的常见操作和参数

以下是 ICACLS 命令中常用操作及其参数的详细解释：

1. 显示文件和目录的 ACL

语法：

bashCopy Code
ICACLS <文件/文件夹路径>

此命令会显示指定文件或目录的当前访问控制列表（ACL），包括用户/组的权限信息。

示例：

bashCopy Code
ICACLS "C:\Users\JohnDoe\Documents"

此命令将显示 Documents 文件夹的 ACL。

2. 授予或修改权限

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /grant <用户/组名>:<权限>

授予指定用户或组对文件或文件夹的访问权限。

  • <权限>：权限可以是以下之一：
    • F：完全控制（Full control）
    • M：修改（Modify）
    • RX：读取和执行（Read and execute）
    • R：读取（Read）
    • W：写入（Write）

示例：

bashCopy Code
ICACLS "C:\MyFolder" /grant JohnDoe:(F)

此命令将为 JohnDoe 用户授予 MyFolder 文件夹的完全控制权限。

3. 删除指定用户或组的权限

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /remove <用户/组名>

此命令会从指定文件或文件夹中移除某个用户或组的权限。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /remove JohnDoe

此命令将从 MyFolder 文件夹中删除 JohnDoe 用户的权限。

4. 替换文件或文件夹的权限

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /reset

此命令会重置文件或文件夹的权限，将其恢复为默认状态（继承权限）。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /reset

此命令将重置 MyFolder 文件夹的权限，并使其继承父文件夹的权限。

5. 启用或禁用权限继承

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /inheritance:<启用/禁用>
  • 启用：启用继承权限。
  • 禁用：禁用继承权限，且保留当前权限。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /inheritance:r

此命令将禁用 MyFolder 文件夹的权限继承，并且将保留当前的权限。

6. 备份 ACL 到文件

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /save <备份文件路径>

此命令将文件或文件夹的权限保存到指定的文件中，以便以后恢复。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /save "C:\Backup\acl_backup.txt"

此命令将 MyFolder 文件夹的 ACL 保存到 acl_backup.txt 文件中。

7. 从备份恢复 ACL

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /restore <备份文件路径>

此命令将从之前的备份文件恢复文件或文件夹的 ACL。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /restore "C:\Backup\acl_backup.txt"

此命令将从 acl_backup.txt 恢复 MyFolder 文件夹的 ACL。

8. 替换子目录和文件的权限

语法：

bashCopy Code
ICACLS <文件夹路径> /T /grant <用户/组名>:<权限>
  • /T：表示递归地修改文件夹中的所有文件和子文件夹的权限。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /T /grant JohnDoe:(F)

此命令将为 MyFolder 文件夹及其所有子文件夹和文件授予 JohnDoe 用户完全控制权限。

9. 添加用户或组权限，但不替换现有权限

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /grant <用户/组名>:<权限> /C
  • /C：如果某个文件或文件夹被访问时发生错误，继续执行而不停止。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /grant JohnDoe:(M) /C

此命令会为 MyFolder 文件夹添加 JohnDoe 用户的修改权限，并在遇到错误时继续执行。

10. 查看和修复文件夹或文件的权限

语法：

bashCopy Code
ICACLS <文件/文件夹路径> /verify

此命令会验证文件或文件夹的 ACL 是否有效。

示例：

bashCopy Code
ICACLS "C:\MyFolder" /verify

此命令将验证 MyFolder 文件夹的 ACL 设置。

 ICACLS 命令的逻辑链

  1. 显示权限：使用 ICACLS <路径> 查看文件或文件夹的权限。
  2. 修改权限：使用 /grant 进行权限授予，使用 /remove 移除权限。
  3. 管理继承：使用 /inheritance 控制权限的继承行为。
  4. 备份与恢复：使用 /save 备份 ACL，使用 /restore 恢复 ACL。
  5. 递归操作：使用 /T 对文件夹及其所有子项进行递归操作。
  6. 错误处理：使用 /C 忽略错误继续操作。

这些操作可以结合使用，形成一系列灵活的权限管理命令，用于不同的管理需求。在实际操作中，管理员可以通过这些命令，方便地管理文件和文件夹的访问权限。

ICACLS 命令是 Windows 操作系统中用于管理文件和文件夹权限的工具。它可以用于查看、修改、备份或还原文件系统中的访问控制列表（ACL）。ACL 控制谁可以访问文件或文件夹及其可以执行的操作（如读取、写入、执行等）。ICACLS 是一个强大的命令行工具，广泛用于文件系统权限管理。

ICACLS 命令的完整逻辑链

1. 命令基本语法和选项

Copy Code
ICACLS <文件名或文件夹名> [<操作>] [<参数>]
  • <文件名或文件夹名>：指定要操作的文件或文件夹路径。
  • 操作：指定要执行的操作，例如查看、修改、备份或还原 ACL。
  • 参数：根据不同的操作提供额外参数，如指定权限类型、用户等。

2. 常用操作及其选项

  1. 查看权限（查看ACL）

    • 用于查看文件或文件夹的当前访问控制列表（ACL），即谁对该文件或文件夹有何种权限。
    • 语法：
      bashCopy Code
      ICACLS <文件名或文件夹名>

    例子：

    bashCopy Code
    ICACLS "C:\Documents\myfile.txt"

  2. 修改权限

    • 用于给指定用户或组赋予或删除访问权限。
    • 语法：
      bashCopy Code
      ICACLS <文件名或文件夹名> /grant <用户名>:(<权限>)

    常见权限：

    • F（完全控制）
    • M（修改）
    • RX（读取和执行）
    • R（读取）
    • W（写入）

    例子：

    bashCopy Code
    ICACLS "C:\Documents\myfile.txt" /grant User1:F

    上述命令将赋予 User1 用户对 myfile.txt 的完全控制权限。

  3. 删除权限

    • 用于删除指定用户或组的权限。
    • 语法：
      bashCopy Code
      ICACLS <文件名或文件夹名> /remove <用户名>

    例子：

    bashCopy Code
    ICACLS "C:\Documents\myfile.txt" /remove User1

    这将删除 User1 对文件 myfile.txt 的所有权限。

  4. 递归操作（对文件夹内的所有文件应用权限）

    • 对文件夹中的所有文件和子文件夹递归地应用权限。
    • 语法：
      bashCopy Code
      ICACLS <文件夹路径> /grant <用户名>:(<权限>) /T

    例子：

    bashCopy Code
    ICACLS "C:\Documents" /grant User1:F /T

    上述命令会将 User1 对 C:\Documents 文件夹及其所有子文件和子文件夹的完全控制权限。

  5. 备份权限

    • 将指定文件或文件夹的权限信息导出到一个文本文件中，便于以后恢复。
    • 语法：
      bashCopy Code
      ICACLS <文件名或文件夹名> /save <备份文件路径>

    例子：

    bashCopy Code
    ICACLS "C:\Documents" /save C:\backup_acl.txt

    这将把 C:\Documents 文件夹的 ACL 信息备份到 C:\backup_acl.txt 文件中。

  6. 还原权限

    • 从备份文件中恢复文件或文件夹的权限。
    • 语法：
      bashCopy Code
      ICACLS <文件夹名> /restore <备份文件路径>

    例子：

    bashCopy Code
    ICACLS "C:\Documents" /restore C:\backup_acl.txt

    这将从备份文件 C:\backup_acl.txt 中恢复 C:\Documents 文件夹的权限。

  7. 重置文件夹权限

    • 将文件夹的权限恢复为默认设置，通常是继承父文件夹的权限。
    • 语法：
      bashCopy Code
      ICACLS <文件夹路径> /reset

    例子：

    bashCopy Code
    ICACLS "C:\Documents" /reset

    这将重置 C:\Documents 文件夹及其所有子文件和子文件夹的权限。

3. 命令执行的逻辑顺序

步骤 1：选择操作对象
  • 首先，确定你要操作的目标文件或文件夹路径。
步骤 2：指定操作
  • 根据你的需求，选择要执行的操作，如查看权限、修改权限、备份、还原等。
步骤 3：执行命令
  • 输入并执行 ICACLS 命令，系统将根据命令中的选项和参数执行相关操作。
步骤 4：查看结果
  • 执行后，系统会输出相应的操作结果：
    • 如果查看权限，命令行会列出该文件或文件夹的当前权限。
    • 如果修改权限，系统会显示成功或失败的提示。
    • 对于备份和还原操作，系统会提示是否成功保存或恢复权限。

4. 命令的工作原理

  • 访问控制列表（ACL）
    每个文件或文件夹在 NTFS 文件系统中都有一个访问控制列表（ACL），它定义了谁可以访问该文件以及可以执行哪些操作（读取、写入、执行等）。ICACLS 命令允许你查看、修改或管理这些权限。

  • 权限继承与用户/组控制
    文件和文件夹的权限通常是继承的，这意味着子文件夹和文件会自动继承父文件夹的权限。ICACLS 支持在命令中使用继承控制，如通过 /T 递归文件夹权限，或通过 /reset 重置为默认继承。

  • 修改权限
    当你修改文件或文件夹的权限时，ICACLS 会更新 ACL，允许指定的用户或组进行相应的操作。你可以添加（/grant）、删除（/remove）或更改（通过 :permission 设置）权限。

  • 备份与还原权限
    通过 /save 和 /restore 参数，你可以备份和恢复文件的权限，这对于迁移文件或恢复权限配置非常有用。

5. 典型使用场景和逻辑链

  • 查看文件权限 假设你需要查看某个文件的权限：

    bashCopy Code
    ICACLS "C:\Documents\important.txt"

    逻辑链：

    • 确定目标文件 "C:\Documents\important.txt"。
    • 执行 ICACLS 命令，查看该文件的权限。
    • 输出文件的权限信息。

  • 为用户赋予权限 假设你要将文件的完全控制权限赋予用户 User1：

    bashCopy Code
    ICACLS "C:\Documents\important.txt" /grant User1:F

    逻辑链：

    • 确定目标文件 "C:\Documents\important.txt"。
    • 使用 /grant 给 User1 完全控制权限（F）。
    • 执行命令，系统更新文件权限。

  • 备份文件权限 假设你需要备份文件夹的权限：

    bashCopy Code
    ICACLS "C:\Documents" /save C:\backup_acl.txt

    逻辑链：

    • 确定目标文件夹 "C:\Documents"。
    • 使用 /save 备份权限到 C:\backup_acl.txt。
    • 执行命令，成功保存权限信息。

6. 错误处理与提示

  • 如果指定的文件或文件夹路径不存在，系统会提示错误。
  • 如果权限更改失败，系统会提供失败的原因，如权限不足、文件被锁定等。

ICACLS 命令的完整逻辑链包括：选择目标文件或文件夹、指定操作（如查看、修改权限、备份、还原等）、执行命令、查看结果并进行后续操作（如递归处理、权限恢复等）。通过 ICACLS，用户可以灵活地管理文件和文件夹的权限，确保数据的安全性和访问控制。

icacls 命令主要用于在 Windows 系统中管理文件和文件夹的权限，但它不直接用于注册表的权限管理。关于注册表的权限管理，你可以使用类似 regini、subinacl 等工具，或者通过 PowerShell 来操作注册表权限。

然而，icacls 命令和注册表权限管理的关系，可以通过对比文件系统和注册表中的权限控制机制来理解。以下是将 icacls 命令的一些类别、子类和分类化，并与注册表的权限管理进行对比的示例。

1. icacls 命令的分类

类别 子类 描述
权限管理 /grant 授予特定用户或组特定权限。
  /deny 拒绝特定用户或组特定权限。
  /remove 删除指定用户或组的权限。
  /setowner 设置文件或文件夹的所有者。
  /inheritance 启用或禁用权限继承（如 /inheritance:e 启用继承）。
查询权限 无 icacls 默认会显示指定文件或文件夹的权限信息。
递归操作 /t 对文件夹及其所有子文件夹、文件递归地应用权限。
保存与恢复 /save 将文件夹的权限保存到文件中。
  /restore 从保存的权限文件中恢复文件夹的权限。
特殊操作 /verify 验证文件或文件夹的权限设置是否有效。
  /reset 重置文件夹的权限，恢复为系统默认的权限。
额外选项 /acl 显示文件的访问控制列表（ACL）。

PowerShell 和 icacls 命令在权限管理中的对比，中包括示例，以便清晰地展示每个选项的作用和 PowerShell 等效操作。

功能 icacls 命令 PowerShell 对应命令 示例
授予权限 /grant <用户>:<权限> Add-AccessControlEntry -Path <文件路径> -User <用户> -AccessType <权限> icacls "C:\example\file.txt" /grant User:FPowerShell：$acl = Get-Acl "C:\example\file.txt"$permission = "User", "FullControl", "Allow"$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission$acl.AddAccessRule($accessRule)Set-Acl "C:\example\file.txt" $acl
拒绝权限 /deny <用户>:<权限> Add-AccessControlEntry -Path <文件路径> -User <用户> -AccessType Deny icacls "C:\example\file.txt" /deny User:FPowerShell：$acl = Get-Acl "C:\example\file.txt"$permission = "User", "FullControl", "Deny"$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule $permission$acl.AddAccessRule($accessRule)Set-Acl "C:\example\file.txt" $acl
删除权限 /remove <用户> Remove-AccessControlEntry -Path <文件路径> -User <用户> icacls "C:\example\file.txt" /remove UserPowerShell：$acl = Get-Acl "C:\example\file.txt"$acl.RemoveAccessRuleAll($accessRule)Set-Acl "C:\example\file.txt" $acl
设置所有者 /setowner <所有者> Set-Acl <文件路径> -AclObject (Get-Acl <文件路径> SetOwner <所有者>)
启用/禁用继承 /inheritance:e 启用继承/inheritance:d 禁用继承 Set-Acl <文件路径> -AclObject (Get-Acl <文件路径> SetAccessRuleProtection)
查询权限 无 Get-Acl <文件路径> icacls "C:\example\file.txt"PowerShell：Get-Acl "C:\example\file.txt"
递归操作 /t 对文件夹及其所有子文件夹、文件递归地应用权限 使用 -Recurse 参数的 Get-Acl 和 Set-Acl icacls "C:\example\folder" /tPowerShell：Get-Acl "C:\example\folder" -Recurse
保存权限 /save <文件> Get-Acl <文件路径> Export-Clixml -Path <文件>
恢复权限 /restore <文件> Import-Clixml -Path <文件> Set-Acl <文件路径>
验证权限 /verify 无对应命令 icacls "C:\example\file.txt" /verifyPowerShell：没有直接的命令验证权限。需要手动检查和调试。
重置权限 /reset Set-Acl <文件路径> -AclObject (Get-Acl <文件路径> RemoveAccessControlInheritance)
显示访问控制列表 (ACL) /acl Get-Acl <文件路径> Format-List

说明：

  • /grant、/deny、/remove 等权限管理命令在 PowerShell 中是通过 Add-AccessControlEntry、Remove-AccessControlEntry 来实现的。
  • /inheritance:e 和 /inheritance:d 在 PowerShell 中可以通过 SetAccessRuleProtection 实现启用或禁用继承。
  • /save 和 /restore 权限文件的备份和恢复在 PowerShell 中可以通过 Export-Clixml 和 Import-Clixml 来实现。
  • /reset 和 /verify 的功能在 PowerShell 中没有直接对应的命令，通常需要手动验证或使用其他方法实现。

2. 注册表权限管理的分类（与 icacls 比较）

在 Windows 注册表中，权限管理也有类似于文件系统的操作，但命令行工具稍有不同。regini 和 subinacl 是可以用于注册表权限管理的工具。

类别 命令/工具 描述
权限管理 subinacl /grant 授予用户或组对注册表键的权限。
  subinacl /deny 拒绝用户或组对注册表键的访问权限。
  subinacl /setowner 更改注册表键的所有者。
  regini 设置注册表权限。
查询权限 subinacl /display 显示注册表键的权限信息。
递归操作 subinacl /subtree 递归操作注册表键及其子键。
保存与恢复 无直接命令 注册表权限管理没有 icacls 中的保存/恢复功能，但可以通过备份恢复权限。
特殊操作 无 注册表的权限通常通过直接修改权限键值或使用命令来实现，但不像 icacls 有广泛的验证选项。
功能 subinacl 命令 regini 命令 示例
授予权限 /grant <用户>:<权限> 无直接命令 subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /grant User=F regini 通过文件配置设置权限 示例：regini "HKEY_LOCAL_MACHINE\Software\MyApp" "User:F"
拒绝权限 /deny <用户>:<权限> 无直接命令 subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /deny User=F
更改所有者 /setowner <用户> 无直接命令 subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /setowner User
设置注册表权限 无直接命令 regini regini 通过注册表权限配置文件设置权限。示例：regini "HKEY_LOCAL_MACHINE\Software\MyApp" "User:F"
查询权限 /display 无直接命令 subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display
递归操作 /subtree 无直接命令 subinacl /subtree "HKEY_LOCAL_MACHINE\Software\MyApp" /grant User=F
保存与恢复 无直接命令 通过备份恢复权限 subinacl 和 regini 本身没有保存/恢复权限的功能，但可以通过手动备份注册表并恢复来恢复权限。示例：1. 使用 regedit 备份注册表项：regedit /e backup.reg "HKEY_LOCAL_MACHINE\Software\MyApp"2. 恢复权限时：regedit /s backup.reg
特殊操作 无广泛验证选项 无广泛验证选项 注册表的权限管理通常通过直接修改权限键值或使用命令来实现。 例如：使用 subinacl 进行权限修改时，用户可以验证是否已设置权限，方法是检查注册表项的权限。 例如：subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display 查看权限是否已更改。

说明：

  • subinacl 命令是一个较为强大的工具，允许用户授予、拒绝权限，更改所有者，查询权限等操作，支持递归地修改注册表键及其子键。
  • regini 命令用于通过配置文件来设置注册表权限，特别适用于批量操作或批量修改注册表项权限。它通过文件来设置权限，但不像 subinacl 命令那样有广泛的权限管理功能。
  • 保存与恢复：虽然 subinacl 和 regini 本身没有直接的保存/恢复权限功能，但可以通过备份和恢复注册表来间接达到这个目的。

在 PowerShell 中，管理 Windows 注册表的权限可以通过以下命令和方法实现。下面是与 subinacl 和 regini 命令相对应的 PowerShell 操作方式：

功能 PowerShell 命令 示例
授予权限 Add-NTFSAccess (适用于文件系统) 或 Set-Acl (适用于注册表) Set-Acl -Path "HKLM:\Software\MyApp" -AclObject (Get-Acl "C:\Users\User\Documents\MyApp\AccessList")
拒绝权限 Set-Acl Set-Acl -Path "HKLM:\Software\MyApp" -AclObject (Get-Acl "C:\Users\User\Documents\MyApp\DenyList")
更改所有者 Set-Acl (通过 SetOwner 方法) Set-Acl -Path "HKLM:\Software\MyApp" -AclObject (Get-Acl "C:\Users\User\Documents\MyApp\OwnerList")
设置注册表权限 Set-Acl Set-Acl -Path "HKLM:\Software\MyApp" -AclObject (Get-Acl "C:\Users\User\Documents\MyApp\AccessList")
查询权限 Get-Acl Get-Acl -Path "HKLM:\Software\MyApp"
递归操作 Get-ChildItem 与 Set-Acl 配合使用 Get-ChildItem -Path "HKLM:\Software\MyApp" -Recurse
保存与恢复 备份/恢复注册表：Export-RegistryFile 和 Import-RegistryFile（通过 regedit） 1. regedit /e "C:\backup.reg" "HKLM\Software\MyApp"2. regedit /s "C:\backup.reg"
特殊操作 对象权限修改和查询 Set-Acl 和 Get-Acl 结合使用来手动设置和查询注册表项的权限。

详细说明：

  1. 授予权限 (Add-NTFSAccess / Set-Acl): 在 PowerShell 中，管理权限最常用的是 Set-Acl 命令。通过该命令，你可以设置文件系统或注册表项的权限。对于注册表，路径格式为 HKLM:\ 或 HKEY_LOCAL_MACHINE\。

    示例：

    powershellCopy Code
    # 设置注册表项的权限
$acl = Get-Acl "HKLM:\Software\MyApp"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule("User", "FullControl", "Allow")
$acl.AddAccessRule($rule)
Set-Acl -Path "HKLM:\Software\MyApp" -AclObject $acl

  2. 拒绝权限 (Set-Acl): 拒绝权限与授予权限的操作类似，只需要将 Allow 改为 Deny 即可。

    示例：

    powershellCopy Code
    # 设置拒绝权限
$acl = Get-Acl "HKLM:\Software\MyApp"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule("User", "FullControl", "Deny")
$acl.AddAccessRule($rule)
Set-Acl -Path "HKLM:\Software\MyApp" -AclObject $acl

  3. 更改所有者 (Set-Acl): 通过 Set-Acl 更改注册表项的所有者。你可以使用 SetOwner 方法。

    示例：

    powershellCopy Code
    # 更改注册表项所有者
$acl = Get-Acl "HKLM:\Software\MyApp"
$owner = New-Object System.Security.Principal.NTAccount("User")
$acl.SetOwner($owner)
Set-Acl -Path "HKLM:\Software\MyApp" -AclObject $acl

  4. 查询权限 (Get-Acl): 使用 Get-Acl 可以查看注册表项的权限。

    示例：

    powershellCopy Code
    # 查询注册表项权限
Get-Acl -Path "HKLM:\Software\MyApp"

  5. 递归操作: 如果要递归地修改所有子键的权限，可以结合 Get-ChildItem 和 Set-Acl 使用。

    示例：

    powershellCopy Code
    # 递归地设置权限
Get-ChildItem -Path "HKLM:\Software\MyApp" -Recurse | Set-Acl -AclObject (Get-Acl "C:\Users\User\Documents\MyApp\AccessList")

  6. 保存与恢复: PowerShell 本身不提供直接保存和恢复注册表权限的功能，但可以通过 regedit 命令手动备份和恢复注册表。

    示例：

    powershellCopy Code
    # 备份注册表项
regedit /e "C:\backup.reg" "HKLM\Software\MyApp"

# 恢复注册表项
regedit /s "C:\backup.reg"

PowerShell 提供了多种命令 (Set-Acl, Get-Acl, Export-RegistryFile, Import-RegistryFile) 来管理和查询注册表权限。Set-Acl 和 Get-Acl 是主要的权限管理工具，适用于修改和查询注册表项的权限设置。而 regedit 命令可用于注册表的备份与恢复。

3. 注册表权限与文件系统权限的对比

特性 文件系统权限（通过 icacls） 注册表权限（通过 subinacl 或 regini）
权限类型 读取、写入、执行、完全控制、修改、读取和执行等 读取、写入、删除、完全控制等
继承支持 支持权限继承（父目录权限继承到子目录） 支持键值继承，但常常需要手动设置或使用脚本
递归操作 支持递归设置权限（通过 /t 参数） 支持递归设置权限（通过 /subtree 参数）
权限设置方式 使用 icacls 直接修改文件夹或文件权限 使用 subinacl 或 regini 设置注册表键值的权限
权限查询 可以使用 icacls 查询文件或文件夹的权限 通过 subinacl /display 或 regini 查询注册表权限
权限保存与恢复 支持权限设置的保存和恢复（通过 /save 和 /restore） 注册表权限通常需要通过备份和恢复来管理
权限管理复杂性 可以通过 icacls 管理复杂的权限结构和访问控制 subinacl 和 regini 更加简洁，但功能较为局限

4. 权限实例

  • icacls 示例：

    • 授予用户 User 完全控制权限：
      bashCopy Code
      icacls "C:\folder" /grant User:F
    • 查询文件夹权限：
      bashCopy Code
      icacls "C:\folder"
    • 删除某个用户的权限：
      bashCopy Code
      icacls "C:\folder" /remove User

  • subinacl 示例：

    • 授予用户 User 对注册表键的完全控制：
      bashCopy Code
      subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MySoftware" /grant=User=f
    • 查询注册表键的权限：
      bashCopy Code
      subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MySoftware" /display
    • 递归设置子键权限：
      bashCopy Code
      subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MySoftware" /subtree /grant=User=f

总结

  • icacls 是 Windows 系统中用于管理文件和文件夹权限的工具，可以为文件和文件夹分配不同的权限，并支持复杂的权限设置，包括继承、递归和权限保存/恢复等。
  • 注册表权限管理虽然没有像 icacls 那样功能强大，但通过 subinacl 和 regini 等工具，依然可以实现类似的操作，如授予、拒绝权限、查看权限以及递归设置权限等。
  • 对比化可以帮助理解这两个系统的权限管理之间的异同，尽管它们在操作方式和工具上有所不同，但核心概念和目标是相似的。

深入探讨 icacls 和注册表权限管理的具体应用，以及它们之间的相似性和差异，尤其是在复杂的权限管理环境下，它们如何进行集成与配合。

5. 高级权限管理应用：如何管理复杂权限和多个用户/组的权限

在实际工作中，可能会遇到对文件系统或注册表权限进行复杂设置的场景。以下是如何通过 icacls 和 subinacl 管理多个用户、组、权限以及继承关系的例子。

5.1 使用 icacls 管理文件和文件夹的复杂权限

  1. 为多个用户授予不同的权限： 假设你有一个文件夹 C:\SensitiveFiles，并希望为不同的用户设置不同的访问权限，可以使用 icacls 命令。

    • 给用户 User1 授予完全控制权限：
      bashCopy Code
      icacls "C:\SensitiveFiles" /grant User1:F
    • 给组 Admins 授予修改权限（但不允许删除文件）：
      bashCopy Code
      icacls "C:\SensitiveFiles" /grant Admins:M
    • 给 User2 仅授予读取权限：
      bashCopy Code
      icacls "C:\SensitiveFiles" /grant User2:R

  2. 拒绝某个用户的特定权限： 假设你想拒绝用户 User3 删除文件（使用拒绝权限设置来覆盖任何继承的权限）。

    bashCopy Code
    icacls "C:\SensitiveFiles" /deny User3:D

  3. 设置权限继承： 如果你希望文件夹 C:\SensitiveFiles 启用权限继承，这样子文件夹和文件都会继承父文件夹的权限：

    bashCopy Code
    icacls "C:\SensitiveFiles" /inheritance:e

  4. 查询并导出权限： 你可以使用 icacls 查询某个文件夹的权限，并将其导出到文本文件中，以便审计或备份。

    bashCopy Code
    icacls "C:\SensitiveFiles" > C:\backup\SensitiveFiles_permissions.txt

5.2 使用 subinacl 管理注册表权限

subinacl 提供了对注册表键的细粒度权限管理，支持类似 icacls 的权限设置方式，能在注册表中配置用户、组的权限。

  1. 授予用户权限： 假设你希望给 User1 对注册表键 HKEY_LOCAL_MACHINE\Software\MyApp 赋予完全控制权限：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /grant=User1=f

  2. 拒绝某个用户对注册表键的权限： 如果你希望拒绝用户 User2 对同一个注册表键的写入权限：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /deny=User2=w

  3. 递归地设置注册表权限： 如果你希望为 HKEY_LOCAL_MACHINE\Software\MyApp 下的所有子键设置相同的权限，可以使用 /subtree 参数：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /subtree /grant=User1=f

  4. 查看注册表键的当前权限： 使用 /display 参数查看某个注册表键的权限：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display

6. 权限继承与权限回收

6.1 在文件系统中使用 icacls 管理继承

在复杂的文件和文件夹管理中，权限继承是非常重要的，因为它可以简化对大量文件的权限设置。如果希望禁用继承，使得子文件或子文件夹不再继承父级的权限，可以使用以下命令：

  • 禁用继承：

    bashCopy Code
    icacls "C:\SensitiveFiles" /inheritance:d

    这会禁用文件夹的权限继承，子文件或子文件夹将不再继承父文件夹的权限。

  • 将继承权限转换为明确权限： 如果你想将继承的权限转换为明确的权限，使子文件夹或文件不再依赖父文件夹的权限，可以使用：

    bashCopy Code
    icacls "C:\SensitiveFiles" /inheritance:r

6.2 在注册表中管理继承

与文件系统权限类似，注册表也可以启用或禁用继承，尽管操作方式稍有不同。使用 subinacl 时，可以对特定的注册表项及其子项启用继承。

  • 启用注册表项继承：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /inheritance:e

  • 禁用注册表项继承：

    bashCopy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /inheritance:d

7. 实际案例：系统管理员如何管理权限

假设你是一名系统管理员，负责管理多个计算机系统的文件和注册表权限，以下是一个可能的工作流程：

  1. 配置文件夹和文件的权限：

    • 你需要确保 C:\SharedFiles 文件夹只能由 IT 部门的用户访问，而其他部门的用户只能读取，不能修改。你可以使用 icacls 为不同的组配置权限：
      bashCopy Code
      icacls "C:\SharedFiles" /grant ITGroup:F
icacls "C:\SharedFiles" /grant HRGroup:R

  2. 注册表配置管理：

    • 你需要确保只有管理员才能修改特定的注册表项 HKEY_LOCAL_MACHINE\Software\MyApp。你使用 subinacl 为该键设置权限：
      bashCopy Code
      subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /grant=Admins=f

  3. 权限回收与恢复：

    • 如果某个用户意外更改了 C:\SensitiveFiles 的权限，你可以通过以下命令恢复默认权限：
      bashCopy Code
      icacls "C:\SensitiveFiles" /reset

  4. 备份与审计：

    • 定期导出文件夹和注册表的权限配置，以便进行审计：
      bashCopy Code
      icacls "C:\SensitiveFiles" > C:\backup\SensitiveFiles_permissions.txt
subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display > C:\backup\MyApp_registry_permissions.txt

8. 总结：文件系统与注册表权限管理的差异与联系

  • 功能重叠：icacls 和 subinacl 都允许管理员对文件/文件夹和注册表项的权限进行详细管理，包括授予、拒绝、修改权限、递归设置等。
  • 权限模型差异：文件系统权限模型通常较为直观，支持继承和复杂的访问控制，而注册表权限更多的是通过手动设置或脚本管理，并不总是具备如文件系统那样的复杂继承体系。
  • 工具差异：icacls 更加灵活且功能全面，适用于文件系统管理，而 subinacl 更专注于注册表权限配置，虽然它也可以操作文件系统，但主要用于注册表管理。

通过理解这些工具的使用场景和操作方法，系统管理员可以在文件和注册表管理中做出合理的权限设计，确保系统安全性和管理的便捷性。

深入讨论如何在复杂的权限管理环境中集成 icacls 和 subinacl，以及如何结合策略进行有效的权限管理。

9. 实战操作：如何在多台机器或企业环境中实施权限管理

在大规模环境中，管理员需要通过脚本和工具自动化权限配置和恢复，以提高效率并减少人为错误。下面是一些常见的场景和如何使用 icacls 和 subinacl 完成这些任务的解决方案。

9.1 批量管理文件和文件夹权限

如果你在多个计算机上需要统一设置某些文件或文件夹的权限，icacls 可以配合批处理脚本来批量处理文件夹权限。例如：

  • 批量应用权限到多个文件夹： 假设你有一个名为 C:\Data\Reports 的文件夹，这个文件夹中包含多个子文件夹，而你希望对所有子文件夹和文件设置一致的权限。

    你可以使用以下脚本为所有子文件夹设置读取权限：

    Copy Code
    for /d %%i in (C:\Data\Reports\*) do (
  icacls "%%i" /grant "User1":(R)
)

    该脚本会遍历 C:\Data\Reports 下的所有子文件夹，并为每个子文件夹授予用户 User1 读取权限。

  • 批量修改多个文件夹权限并导出日志： 如果你需要为多个文件夹批量授予权限，并将操作日志记录下来，可以结合 icacls 和输出重定向来执行：

    Copy Code
    icacls "C:\Data\Reports" /grant "User1":(F) > C:\Logs\permission_log.txt

    通过这种方式，所有权限变更都会被记录下来，并保存在 permission_log.txt 文件中，方便后期审计。

9.2 批量管理注册表权限

如果需要在多台机器上批量修改某些注册表键的权限，可以通过 PowerShell 脚本结合 subinacl 完成。例如，如果你希望为多个系统的某个注册表键设置相同的权限：

  • 批量修改注册表权限： 下面是一个简单的 PowerShell 脚本，用于批量更改注册表权限。假设你需要为所有计算机上的某个注册表键 HKEY_LOCAL_MACHINE\Software\MyApp 授予 User1 完全控制权限：

    powershellCopy Code
    $computers = @("PC1", "PC2", "PC3")

foreach ($computer in $computers) {
    Invoke-Command -ComputerName $computer -ScriptBlock {
        subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /grant=User1=f
    }
}

    该脚本会远程在每台指定计算机上执行 subinacl 命令，设置注册表项 HKEY_LOCAL_MACHINE\Software\MyApp 对用户 User1 的完全控制权限。

  • 批量备份注册表权限： 为了确保对注册表权限的变更有备份，可以在执行权限更改之前导出当前注册表的权限配置：

    powershellCopy Code
    $computers = @("PC1", "PC2", "PC3")

foreach ($computer in $computers) {
    Invoke-Command -ComputerName $computer -ScriptBlock {
        subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display > "C:\Backup\MyApp_permissions_$env:COMPUTERNAME.txt"
    }
}

    这个脚本会远程在每台计算机上执行 subinacl 命令，并将当前的注册表权限输出到对应的备份文件中。

9.3 集中管理权限：跨多个计算机和域环境

对于大规模环境，集中管理权限是一项挑战。你可以通过结合组策略（Group Policy）与 icacls 和 subinacl 来简化管理工作。比如，可以在组策略中部署一个脚本，确保所有计算机都按照统一的规则进行权限管理。

  • 使用组策略脚本（GPO）来管理文件权限： 你可以在组策略中设置登录脚本或启动脚本，利用 icacls 自动修改文件夹权限。例如，将下面的脚本设置为组策略登录脚本：

    Copy Code
    icacls "C:\SharedFiles" /grant "ITGroup":(F) /grant "HRGroup":(R)

    当用户登录时，脚本会自动执行，确保他们的文件访问权限符合要求。

  • 使用组策略部署注册表权限配置： 你可以将注册表配置脚本（如使用 subinacl）作为组策略的启动脚本部署到所有计算机中，从而确保每台机器的注册表权限一致。

    Copy Code
    subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /grant=Admins=f

    当计算机启动时，subinacl 命令会自动应用于指定的注册表项。

10. 权限审计与合规性管理

权限管理不仅仅是配置权限，审计和合规性检查也是必不可少的。以下是一些实用的审计与合规性管理操作。

10.1 审计文件和文件夹权限

定期审计文件和文件夹的权限，以确保没有未经授权的权限更改。使用 icacls 可以查看当前文件夹的权限设置，输出到日志文件进行审计：

bashCopy Code
icacls "C:\SensitiveFiles" > C:\AuditLogs\SensitiveFiles_permissions.txt

该命令会将 C:\SensitiveFiles 的权限信息导出到日志文件中，管理员可以根据该日志审计文件访问情况。

10.2 审计注册表权限

同样的，你可以使用 subinacl 对注册表的权限进行审计。通过以下命令查看注册表项的权限并导出：

bashCopy Code
subinacl /keyreg "HKEY_LOCAL_MACHINE\Software\MyApp" /display > C:\AuditLogs\MyApp_registry_permissions.txt

这将把 HKEY_LOCAL_MACHINE\Software\MyApp 注册表项的权限信息输出到文件，便于后期检查。

10.3 合规性检查与报告

很多行业（例如金融、医疗、政府部门等）都有严格的合规性要求，要求管理员记录和跟踪系统权限变更。你可以定期生成文件系统和注册表的权限报告，并通过工具进行合规性检查。

例如，结合 icacls 和 subinacl 导出的权限报告，你可以对比不同时间点的权限设置，确保没有未经授权的更改。

10.4 自动化报告与告警

对于大规模的权限管理环境，可以使用 PowerShell 或其他自动化工具定期生成权限审计报告，并通过电子邮件或其他方式进行告警。例如，使用 PowerShell 定期扫描文件夹权限，并在权限发生变化时触发告警：

powershellCopy Code
$previousPermissions = Get-Content "C:\Backup\previous_permissions.txt"
$currentPermissions = icacls "C:\SensitiveFiles"

if ($currentPermissions -ne $previousPermissions) {
    Send-MailMessage -To "admin@example.com" -Subject "Permissions Change Detected" -Body "Permissions for C:\SensitiveFiles have changed."
}

这个脚本会将文件夹 C:\SensitiveFiles 的当前权限与之前的备份进行对比，如果发现权限发生变化，就通过邮件发送告警。

11. 总结

在多台计算机、多个用户和复杂网络环境中，icacls 和 subinacl 是强大且灵活的工具，能够帮助管理员实现对文件系统和注册表权限的细粒度管理。通过批处理脚本、PowerShell 脚本以及组策略的结合使用，可以实现大规模的权限管理、审计和自动化操作。这些工具不仅有助于简化日常的权限管理工作，还能帮助确保系统安全性和合规性，尤其是在需要严格遵循安全政策和行业规范的环境中。

icacls 命令的各个类别、子类和相关功能的化总结，帮助理解其不同功能和用途。

类别 子类/参数 说明 示例
权限操作 /grant 授予指定用户或组某种权限（如读取、写入等）。 icacls "C:\folder" /grant User:F（授予 User 对 C:\folder 完全控制权限）
  /deny 拒绝指定用户或组的某种权限。 icacls "C:\folder" /deny User:R（拒绝 User 对 C:\folder 读取权限）
  /remove 移除指定用户或组的所有权限。 icacls "C:\folder" /remove User（移除 User 对 C:\folder 的所有权限）
  /setowner 设置文件或文件夹的所有者。 icacls "C:\folder" /setowner User（将 C:\folder 的所有者设置为 User）
  /setpermissions 设置文件或文件夹的权限，替换所有现有权限。 icacls "C:\folder" /setpermissions User:F（设置 User 对 C:\folder 的完全控制权限）
继承管理 /inheritance:e 启用继承，允许文件夹及其子文件继承父文件夹的权限。 icacls "C:\folder" /inheritance:e（启用继承）
  /inheritance:d 禁用继承，文件夹及其子文件不再继承父文件夹的权限。 icacls "C:\folder" /inheritance:d（禁用继承）
  /inheritance:r 重置继承设置，使文件夹及其子文件恢复父文件夹的权限继承。 icacls "C:\folder" /inheritance:r（恢复继承）
备份与恢复 /save 保存文件夹及其权限的备份到一个指定的文件中。 icacls "C:\folder" /save "permissions.txt"（备份权限设置）
  /restore 从备份文件恢复文件夹的权限。 icacls "C:\folder" /restore "permissions.txt"（从备份文件恢复权限）
权限查询 /find 查找具有指定权限的文件。 icacls "C:\folder" /find "User"（查找拥有 User 权限的文件）
  /display 显示指定文件或文件夹的权限信息。 icacls "C:\folder" /display（显示 C:\folder 的权限）
批量处理 /t 对指定文件夹及其子文件和子文件夹进行递归操作。 icacls "C:\folder" /grant User:F /t（递归地将 User 权限设置为完全控制）
  /q 简化输出，忽略权限显示中的详细信息。 icacls "C:\folder" /grant User:F /q（简化输出，只显示简要信息）
权限重置 /reset 重置文件或文件夹的权限设置，恢复到默认权限状态。 icacls "C:\folder" /reset（重置 C:\folder 权限）
日志记录 /log 将操作过程输出到指定的日志文件中。 icacls "C:\folder" /grant User:F /log "C:\log.txt"（将操作日志输出到文件）
其他操作 /verify 验证文件夹权限是否有效。 icacls "C:\folder" /verify（验证 C:\folder 权限是否有效）
  /audit 启用审核功能以监控文件或文件夹的权限更改。 icacls "C:\folder" /audit（启用 C:\folder 的审核功能）

详细说明

  1. 权限操作：

    • /grant：授予用户或组指定的权限（如 F 完全控制，M 修改，R 读取）。
    • /deny：拒绝用户或组的指定权限，拒绝权限的优先级高于授予权限。
    • /remove：移除指定用户或组的所有权限。
    • /setowner：设置指定文件或文件夹的所有者。
    • /setpermissions：替换文件或文件夹上的所有权限。

  2. 继承管理：

    • /inheritance:e：启用继承，使文件夹及其子文件继承父文件夹的权限。
    • /inheritance:d：禁用继承，使文件夹不再继承父文件夹的权限。
    • /inheritance:r：重置继承设置，恢复从父文件夹继承权限。

  3. 备份与恢复：

    • /save：保存文件夹的权限信息到指定的文件。
    • /restore：从文件中恢复权限设置。

  4. 权限查询：

    • /find：查找具有指定权限的文件或文件夹。
    • /display：显示文件或文件夹的权限信息。

  5. 批量处理：

    • /t：对文件夹及其所有子文件和子文件夹递归应用权限操作。
    • /q：简化输出，不显示权限的详细信息。

  6. 权限重置：

    • /reset：重置文件或文件夹的权限，恢复为默认权限。

  7. 日志记录：

    • /log：将操作过程记录到指定的日志文件中。

  8. 其他操作：

    • /verify：检查文件夹的权限是否有效。
    • /audit：启用文件或文件夹的审计功能，监视权限更改。

常见示例

  • 授予权限：

    bashCopy Code
    icacls "C:\folder" /grant User:F

    将 C:\folder 的完全控制权限授予 User。

  • 拒绝权限：

    bashCopy Code
    icacls "C:\folder" /deny User:R

    拒绝 User 对 C:\folder 的读取权限。

  • 备份权限：

    bashCopy Code
    icacls "C:\folder" /save "permissions.txt"

  • 恢复权限：

    bashCopy Code
    icacls "C:\folder" /restore "permissions.txt"

  • 递归修改权限：

    bashCopy Code
    icacls "C:\folder" /grant User:F /t

  • 启用继承：

    bashCopy Code
    icacls "C:\folder" /inheritance:e

  • 重置权限：

    bashCopy Code
    icacls "C:\folder" /reset

通过这些命令，icacls 能够帮助用户高效地管理 Windows 系统中的文件权限。

icacls 命令的一些使用场景和高级功能。以下是一些更详细的示例，以及如何使用这些命令处理不同的权限管理需求。

1. 多个用户/组权限设置

你可以一次性为多个用户或组设置权限。使用 /grant 或 /deny 参数时，可以列出多个用户或组，并为每个用户或组指定不同的权限。

示例：授予多个用户不同权限

bashCopy Code
icacls "C:\folder" /grant User1:F /grant User2:R /grant User3:M

此命令将为 C:\folder 设置以下权限：

  • User1 获得完全控制权限 (F)。
  • User2 获得读取权限 (R)。
  • User3 获得修改权限 (M)。

示例：拒绝多个用户某种权限

bashCopy Code
icacls "C:\folder" /deny User1:F /deny User2:R

此命令会拒绝 User1 对 C:\folder 的完全控制权限（F），并拒绝 User2 的读取权限（R）。

2. 继承权限管理

icacls 提供了对文件和文件夹继承权限的控制。继承功能允许子文件夹和文件自动获取父文件夹的权限设置，适用于大量文件夹和文件的统一管理。

  • 启用继承（如果继承已被禁用）：
bashCopy Code
icacls "C:\folder" /inheritance:e

此命令将启用 C:\folder 及其子文件夹和文件的权限继承。

  • 禁用继承：
bashCopy Code
icacls "C:\folder" /inheritance:d

此命令将禁用 C:\folder 及其子文件夹和文件的权限继承。需要注意，禁用继承后，子文件夹和文件将不再自动继承父文件夹的权限。

  • 重置继承：
bashCopy Code
icacls "C:\folder" /inheritance:r

此命令会重置 C:\folder 的继承权限设置，使其重新恢复父级文件夹的继承设置。

3. 权限备份与恢复

对于大型文件夹或系统文件，可能需要在操作前备份当前的权限设置，特别是在进行权限调整时。icacls 提供了权限的备份和恢复功能。

  • 备份权限设置到文件：
bashCopy Code
icacls "C:\folder" /save "C:\backup\permissions.txt"

此命令将 C:\folder 的权限设置备份到 permissions.txt 文件中。你可以使用该备份文件在后续恢复权限。

  • 从备份文件恢复权限：
bashCopy Code
icacls "C:\folder" /restore "C:\backup\permissions.txt"

此命令将使用 permissions.txt 文件中的权限设置恢复 C:\folder 的权限。

4. 批量递归操作

当需要修改一个文件夹及其所有子文件和子文件夹的权限时，/t 参数非常有用，它可以让你递归地执行权限修改操作。

  • 递归授予权限：
bashCopy Code
icacls "C:\folder" /grant User:F /t

此命令将授予 User 对 C:\folder 及其所有子文件和子文件夹的完全控制权限。

  • 递归删除权限：
bashCopy Code
icacls "C:\folder" /remove User /t

此命令将递归地删除 User 对 C:\folder 及其所有子文件和子文件夹的权限。

5. 查询与验证权限

你可以使用 icacls 来查询文件夹或文件的当前权限，并验证权限的有效性。

  • 显示文件夹的权限：
bashCopy Code
icacls "C:\folder"

此命令会显示 C:\folder 的当前权限设置，包括所有者和权限列表。

  • 查询文件夹中的权限设置：
bashCopy Code
icacls "C:\folder" /find "User"

此命令会查找所有包含 User 权限的文件或文件夹。

  • 验证权限设置：
bashCopy Code
icacls "C:\folder" /verify

此命令用于验证 C:\folder 的权限是否有效。如果某个权限设置无效或损坏，系统将给出警告。

6. 权限审计

icacls 允许你启用文件夹的审计功能，以便监控权限更改，确保文件夹或文件的权限变动被记录和追踪。

  • 启用审计：
bashCopy Code
icacls "C:\folder" /audit

启用审计后，任何对 C:\folder 权限的修改都会被记录在系统的安全日志中。

7. 日志记录操作

你可以将 icacls 执行过程中的输出保存到日志文件中，方便后续查看或审计。

  • 将权限变更记录到日志文件：
bashCopy Code
icacls "C:\folder" /grant User:F /log "C:\logs\icacls_log.txt"

此命令不仅授予 User 对 C:\folder 的完全控制权限，还将操作记录到指定的日志文件 icacls_log.txt 中。

8. 重置权限

当你需要恢复文件夹或文件的默认权限时，可以使用 /reset 参数。这个操作将删除所有自定义的权限设置，并恢复文件或文件夹的默认访问控制设置。

  • 重置文件夹权限：
bashCopy Code
icacls "C:\folder" /reset

此命令将重置 C:\folder 的权限，删除所有自定义的权限设置，并恢复为默认权限。

9. 高级权限管理

icacls 支持高级的权限管理，包括使用特定的权限标志来精确控制文件的访问权限。常见的权限标志包括：

  • F：完全控制（Full control）
  • M：修改（Modify）
  • RX：读取和执行（Read and execute）
  • R：读取（Read）
  • W：写入（Write）

你可以通过这些标志来灵活地控制用户的文件访问权限。

示例：授予不同级别的权限

bashCopy Code
icacls "C:\folder" /grant User:(F)
icacls "C:\folder" /grant User2:(RX)
icacls "C:\folder" /grant User3:(R)

这将分别为 User 授予完全控制权限，为 User2 授予读取和执行权限，为 User3 授予读取权限。

总结

icacls 是一个强大的工具，可用于 Windows 系统中的文件和文件夹权限管理。通过灵活使用命令参数，你可以精细控制用户和组的权限、继承设置、备份与恢复权限、验证权限有效性、以及记录日志等操作。掌握这些命令将大大提高你对系统文件和目录的安全性管理能力，尤其是在处理复杂权限配置时。

详细说明 icacls 命令的一些其他使用场景和高级功能：

10. 使用占位符（通配符）进行批量操作

在 icacls 中，你可以使用通配符（如 *）来对多个文件或文件夹同时操作，特别适用于批量管理文件权限。

示例：批量修改文件权限

bashCopy Code
icacls "C:\folder\*" /grant User:F

此命令将授予 User 对 C:\folder 目录下所有文件的完全控制权限。通配符 * 表示该目录下的所有文件。

示例：批量删除权限

bashCopy Code
icacls "C:\folder\*" /remove User

此命令将删除 User 对 C:\folder 目录下所有文件的权限。

11. 设置文件/文件夹的所有者

icacls 还可以用来更改文件或文件夹的所有者。默认情况下，文件或文件夹的所有者是创建者或管理员，但你可以使用 /setowner 参数指定新的所有者。

示例：更改所有者

bashCopy Code
icacls "C:\folder" /setowner "NewOwner"

此命令将 C:\folder 的所有者更改为 NewOwner。更改所有者后，该用户将拥有更高的权限控制权。

示例：递归更改所有者

bashCopy Code
icacls "C:\folder" /setowner "NewOwner" /t

此命令将递归更改 C:\folder 目录及其所有子目录和文件的所有者。

12. 权限的合并与覆盖

icacls 允许你选择性地合并或覆盖现有的权限设置。通常，使用 /grant 和 /deny 参数时，权限会被追加到现有权限列表中，但你也可以选择覆盖现有权限。

  • 合并权限

默认情况下，icacls 会将新的权限追加到现有权限上。例如，如果你为某个用户添加 Read 权限，而用户已具有 Write 权限，新的权限会与现有权限合并。

示例：合并权限

bashCopy Code
icacls "C:\folder" /grant User:(R)

该命令将授予 User 对 C:\folder 的读取权限，并将其与现有权限合并。

  • 覆盖现有权限

如果你希望用新的权限完全替代原有的权限，可以使用 /replace 参数。此参数会删除文件夹或文件的所有现有权限，并只保留新的权限设置。

示例：覆盖权限

bashCopy Code
icacls "C:\folder" /grant User:(F) /replace

此命令将删除 C:\folder 中所有现有的权限设置，并仅授予 User 完全控制权限。

13. 设置或删除共享权限

虽然 icacls 主要用于本地文件和文件夹的权限管理，但它同样支持对共享资源的权限进行管理。例如，你可以使用 icacls 来设置共享文件夹的访问控制。

  • 设置共享文件夹权限
bashCopy Code
icacls "\\server\share" /grant "User:(OI)(CI)F"

此命令将为共享文件夹 \\server\share 中的所有文件授予 User 完全控制权限。(OI) 表示对象继承，(CI) 表示容器继承，F 表示完全控制。

  • 删除共享文件夹权限
bashCopy Code
icacls "\\server\share" /remove "User"

此命令将从共享文件夹中删除 User 的所有权限。

14. 高级权限控制：使用 ACE（访问控制项）

icacls 支持通过访问控制项（ACE）来对文件和文件夹的权限进行更加细粒度的控制。ACE 是一个权限对象，可以为特定用户或组指定详细的权限。

  • 添加 ACE 权限

通过 icacls 的 /grant 和 /deny 参数，你可以将特定的权限添加为 ACE。

示例：添加 ACE 权限

bashCopy Code
icacls "C:\folder" /grant "User:(OI)(CI)M"

此命令会为 User 添加 Modify 权限，并指定该权限可以继承给子文件和子文件夹（OI 和 CI）。

  • 查看 ACE 权限

如果你想查看文件夹或文件中设置的所有 ACE，可以使用以下命令：

bashCopy Code
icacls "C:\folder"

此命令会列出 C:\folder 及其所有文件的权限，并显示所有与其相关的 ACE。

15. 执行权限恢复或修复操作

在某些情况下，文件或文件夹的权限可能会出现损坏，或者由于系统恢复等原因，权限设置会丢失。icacls 提供了修复权限的功能，帮助你修复损坏的访问控制列表（ACL）。

  • 修复损坏的权限
bashCopy Code
icacls "C:\folder" /verify

此命令检查 C:\folder 的权限设置是否有效，并尝试修复其中的任何问题。

  • 修复并恢复默认权限
bashCopy Code
icacls "C:\folder" /reset

此命令将删除所有自定义权限，并将 C:\folder 的权限恢复为系统默认的权限设置。

16. 使用 icacls 与其他命令结合

你可以将 icacls 命令与其他 Windows 命令结合使用，来实现更复杂的权限管理。例如，可以结合 xcopy 或 robocopy 用于文件或文件夹的复制，同时保持文件的权限。

  • 复制文件时保留权限
bashCopy Code
robocopy "C:\source" "C:\destination" /COPYALL

此命令会复制文件时保留所有权限设置。

  • 在复制文件后修复权限
bashCopy Code
icacls "C:\destination" /reset /t

如果复制操作中丢失了权限，使用 icacls 修复目标文件夹的权限。

17. icacls 脚本化和自动化

icacls 命令可以方便地嵌入批处理脚本中，实现在系统中自动化和批量执行权限管理任务。通过编写批处理脚本，可以轻松地对大量文件或文件夹进行权限管理。

示例：批处理脚本

Copy Code
@echo off
:: 设置目录路径
set FOLDER_PATH=C:\example

:: 授予权限
icacls "%FOLDER_PATH%" /grant User:F /t

:: 禁用继承
icacls "%FOLDER_PATH%" /inheritance:d

:: 备份权限设置
icacls "%FOLDER_PATH%" /save "C:\backup\permissions.txt"

这个批处理脚本将对 C:\example 目录及其所有子目录授予 User 完全控制权限，禁用继承，并备份权限设置。

总结

icacls 是一个功能强大的权限管理工具，支持对文件和文件夹进行精细化的权限控制。通过掌握不同的命令选项和参数，您可以轻松地：

  • 管理文件和文件夹的权限；
  • 支持递归操作和批量处理；
  • 设置权限继承、备份与恢复权限；
  • 更改文件的所有者；
  • 配置共享文件夹和权限修复等。

结合其他 Windows 工具，icacls 可为管理员提供高效、安全的权限管理解决方案，尤其是在大型系统和复杂的文件结构中。如果熟练使用 icacls，它将成为您进行文件权限管理的得力工具。

 

ICACLS 命令选项按功能分类的化整理：

功能类别 选项 说明
存储和恢复权限 /save aclfile [/T] [/C] [/L] [/Q] 将匹配的文件和文件夹的 DACL（Discretionary Access Control List）存储到指定的 aclfile 文件中，以便以后使用 /restore 恢复。SACL、所有者或完整性标签不会被保存。
  /restore aclfile [/C] [/L] [/Q] 将存储在 aclfile 中的 DACL 应用到指定目录中的文件。
所有权操作 /setowner user [/T] [/C] [/L] [/Q] 更改所有匹配文件的所有者。此选项不会强制更改所有权，若需要强制更改所有权，请使用 takeown.exe 工具。
SID 相关操作 /findsid Sid [/T] [/C] [/L] [/Q] 查找所有 ACL 显式提到指定 Sid 的文件和目录。
  /reset [/T] [/C] [/L] [/Q] 将 ACL 替换为默认的继承 ACL，用于所有匹配的文件。
权限授予和撤销 /grant[:r] Sid:perm [...] 授予指定用户指定的访问权限。使用 :r 参数时，权限将替换任何以前授予的显式权限，否则权限将追加到已授予的显式权限中。
  /deny Sid:perm [...] 显式拒绝指定用户的访问权限，添加一个显式的拒绝 ACE。相同权限的显式授予将被移除。
  `/remove[:g :d] Sid [...]`
完整性和继承操作 /setintegritylevel Level:policy [...] 显式为所有匹配的文件添加完整性 ACE（访问控制条目）。Level 可以是 L[ow]、M[edium] 或 H[igh]。继承选项如 (CI)(OI) 适用于目录。
  `/inheritance:e d
递归处理 /T 在指定目录及其子目录中递归执行操作。
错误处理 /C 即使遇到文件错误，也继续执行操作，错误消息会被显示。
符号链接处理 /L 对符号链接本身执行操作，而不是符号链接的目标。
消息显示控制 /Q 抑制成功消息的显示，仅显示错误消息。

详细说明：

  • 存储和恢复权限：通过 /save 和 /restore 操作，可以将文件和目录的访问控制列表（ACL）保存到文件中，方便之后恢复。
  • 所有权操作：允许修改文件的所有者，使用 /setowner 来更改所有者。
  • SID 相关操作：可用于查找包含特定 SID 的文件，或将文件恢复到默认的继承 ACL 设置。
  • 权限授予和撤销：通过 /grant、/deny、/remove 来授予、拒绝或移除指定 SID 的权限。
  • 完整性和继承操作：提供了设置文件完整性和控制权限继承行为的选项。
  • 递归处理和错误控制：/T 用于递归处理目录，/C 用于处理错误继续执行。
  • 符号链接处理和消息显示：/L 用于符号链接操作，/Q 用于抑制成功消息。

这些选项提供了强大的文件权限管理功能，适用于多种文件系统权限配置场景。

ICACLS 命令相关选项和权限描述按功能分类整理的，包括 权限掩码 和 继承权限。这些权限可以通过 perm 参数指定，并且根据不同的权限级别、继承方式以及具体操作对象（如文件或目录）进行管理。

功能类别 选项/描述 说明
ACE 条目排序 显式拒绝 显式拒绝的访问控制条目（ACE）会排在最前面。
  显式授予 显式授予的权限排在显式拒绝之后。
  继承拒绝 继承的拒绝权限排在显式授予权限之后。
  继承授予 继承的授予权限排在所有其他权限之后。
权限掩码 (perm) N 无访问权限
  F 完全访问权限
  M 修改权限
  RX 读取和执行权限
  R 只读权限
  W 只写权限
  D 删除权限
  DE 删除权限
  RC 读取控制权限
  WDAC 写入 DAC（数据访问控制）权限
  WO 写入所有者权限
  S 同步权限
  AS 访问系统安全权限
  MA 最大允许权限
  GR 通用读取权限
  GW 通用写入权限
  GE 通用执行权限
  GA 通用所有权限
  RD 读取数据/列目录权限
  WD 写入数据/添加文件权限
  AD 附加数据/添加子目录权限
  REA 读取扩展属性权限
  WEA 写入扩展属性权限
  X 执行/遍历权限
  DC 删除子项权限
  RA 读取属性权限
  WA 写入属性权限
继承权限 (OI) 对目录中的对象进行继承权限（对象继承）。
  (CI) 对目录中的容器进行继承权限（容器继承）。
  (IO) 仅继承权限，不允许子对象继承（继承仅）。
  (NP) 不允许继承传播（不传播继承）。
  (I) 从父容器继承权限（继承权限）。
继承处理 /T 递归操作：对目录及其子目录中的文件和子文件夹执行操作。
权限授予与拒绝 /grant[:r] Sid:perm [...] 授予指定用户 Sid 访问权限，:r 表示替换现有权限，默认为追加权限。
  /deny Sid:perm [...] 显式拒绝指定 Sid 的权限。
  **/remove[:g :d] Sid [...]**
所有权管理 /setowner user [/T] 更改文件或目录的所有者。
ACL 存储与恢复 /save aclfile [/T] [/C] [/L] [/Q] 将文件或目录的 ACL（访问控制列表）保存到指定文件 aclfile。/T 表示递归保存子目录。
  /restore aclfile [/C] [/L] [/Q] 从 aclfile 文件中恢复 ACL 到文件或目录。
符号链接处理 /L 对符号链接本身进行操作，而不是对符号链接指向的目标进行操作。
错误处理与消息控制 /C 即使出现错误，也继续执行其他文件的操作。
  /Q 抑制成功消息，仅显示错误消息。

解释：

  1. 权限掩码 (perm)：这些是 ICACLS 中的访问权限，可以通过字母代码指定，每个字母代表不同的文件访问权限。例如，F 表示完全访问，R 表示只读访问等。
  2. 继承权限：这些权限适用于目录，并控制子目录或文件如何继承父目录的访问权限。继承权限用括号表示，例如 (OI) 表示对象继承。
  3. ACE 条目排序：ICACLS 会根据权限的显式或继承顺序，优先应用显式拒绝，接着是显式授予，再是继承的拒绝，最后是继承的授予。
  4. 递归操作与符号链接：ICACLS 提供递归处理目录内容的选项（/T），以及对符号链接本身而非链接目标进行操作的选项（/L）。
  5. 错误和消息控制：通过 /C 控制错误发生时是否继续执行，使用 /Q 来减少输出信息，仅显示错误消息。

这个涵盖了 ICACLS 中最常用的选项和功能，帮助管理和配置文件或目录的访问控制。

 

icacls 是 Windows 操作系统中用于管理文件和目录的访问控制列表（ACL）命令行工具。它可以用来查看、修改、备份和恢复文件和文件夹的权限设置。权限控制是 Windows 安全体系的重要组成部分，icacls 是在命令行下管理这些权限的一种方式。

1. 什么是 icacls?

icacls 是 "Integrity Control Access Control Lists"（完整性控制访问控制列表）的缩写。它用来操作文件或文件夹的 ACLs，这些 ACLs 决定了哪些用户和组有权访问特定的文件或文件夹，以及他们能执行哪些操作（如读取、写入、执行等）。

2. 为什么需要 icacls?

在 Windows 中，每个文件和文件夹都有一个访问控制列表（ACL），它包含了哪些用户或用户组对该文件或文件夹拥有特定的权限。ACL 可以帮助管理员细粒度地控制对文件或文件夹的访问。icacls 命令的主要功能是让系统管理员能够通过命令行界面管理这些 ACL 权限。icacls 替代了之前的 cacls 和 xcacls 命令，提供了更多的功能和灵活性。

3. 如何使用 icacls?

常见用法示例：

  • 查看文件/文件夹权限：
bashCopy Code
icacls "C:\path\to\file_or_folder"

该命令会列出文件或文件夹的访问权限。

  • 授予权限：
bashCopy Code
icacls "C:\path\to\file_or_folder" /grant UserName:(R)

该命令授予用户 UserName 对指定文件或文件夹的读取权限（(R)）。

  • 撤销权限：
bashCopy Code
icacls "C:\path\to\file_or_folder" /remove UserName

该命令撤销用户 UserName 对指定文件或文件夹的所有权限。

  • 递归更改文件夹权限：
bashCopy Code
icacls "C:\path\to\folder" /grant UserName:(F) /T

/T 参数会递归地为文件夹内的所有文件和子文件夹赋予权限。

  • 备份和恢复权限：

    • 备份：

      bashCopy Code
      icacls "C:\path\to\folder" /save "C:\backup\acl_backup.txt"

      这将文件夹的权限保存到指定的备份文件中。

    • 恢复：

      bashCopy Code
      icacls "C:\path\to\folder" /restore "C:\backup\acl_backup.txt"

      使用备份的权限文件恢复指定文件夹的权限。

  • 设置文件或文件夹的默认权限：

bashCopy Code
icacls "C:\path\to\folder" /setintegritylevel (CI)low

该命令会为指定文件夹设置默认的完整性级别，影响默认的访问控制策略。

权限符号：

  • F：完全控制（Full control）
  • M：修改（Modify）
  • R：读取（Read）
  • W：写入（Write）
  • RX：读取和执行（Read and execute）
  • D：删除（Delete）

4. icacls 的作用是什么?

icacls 主要用于以下几种操作：

  1. 查看文件或文件夹的权限：你可以通过 icacls 查看一个文件或文件夹的访问控制列表（ACL），即谁有权限访问文件，能执行哪些操作。

  2. 修改文件或文件夹的权限：通过 icacls，你可以授予、撤销或修改文件或文件夹的访问权限。这对于管理文件系统中的用户和组权限非常重要。

  3. 递归操作：你可以使用 icacls 递归地为文件夹及其子文件夹和文件分配权限，非常适合大规模的权限管理。

  4. 备份与恢复权限：icacls 支持将文件和文件夹的权限备份到一个文件，并在需要时恢复这些权限。这对于恢复权限或迁移文件时非常有用。

5. 为什么使用 icacls 而不是其他工具?

  1. 功能强大：icacls 提供了更多功能，比旧的 cacls 命令更加灵活和强大。它支持设置、查看、备份和恢复权限，还可以递归地处理文件夹中的所有文件和子文件夹。

  2. 更好的兼容性：icacls 支持多种权限类型，包括基本的访问控制和更复杂的安全描述符（如继承、访问控制列表）。它也支持不同版本的 Windows（从 Windows XP 到 Windows 10）兼容。

  3. 简化权限管理：icacls 使得通过命令行批量管理权限变得更容易，尤其是对于大型文件系统和复杂的权限设置。

  4. 脚本化与自动化：由于是命令行工具，icacls 可以轻松与批处理脚本、PowerShell 脚本结合使用，从而自动化权限管理任务。

 

icacls 是一个强大的工具，用于管理文件和目录的权限。它不仅能够查看和修改权限，还能备份和恢复访问控制列表，对于系统管理员来说是一个非常有用的工具。通过灵活的命令行操作，icacls 能够有效管理文件权限，特别适合在大规模环境中使用。

icacls 命令的起源与 Windows 操作系统中访问控制列表（ACL）管理工具的发展密切相关。它是在 Windows Vista 和 Windows Server 2008 发布时作为一种新的命令行工具引入的，旨在取代旧版的 cacls 和 xcacls 命令。

1. 早期的文件权限管理工具（cacls 和 xcacls）

在 icacls 被引入之前，Windows 操作系统中有几个命令行工具用于管理文件和文件夹的权限，最主要的包括：

  • cacls：这个命令是早期 Windows 系统中用来管理文件和目录访问控制列表（ACLs）的工具。它的功能比较简单，只能查看和修改文件的基本权限，但不支持高级的权限管理功能，如复杂的权限继承或对用户权限进行更细粒度的控制。

  • xcacls：这个工具是 cacls 的扩展版本，包含了一些额外的功能，如支持更复杂的权限控制、批量操作等。它由 Microsoft 提供，作为对 cacls 的增强，但其依然局限于一些基本的权限操作，缺乏对现代 Windows 安全功能的全面支持。

2. icacls 的引入（Windows Vista 和 Server 2008）

icacls 在 Windows Vista 和 Windows Server 2008 中首次出现，目的是替代 cacls 和 xcacls，并引入一系列新的功能，尤其是针对安全性和权限管理的增强。

  • Windows Vista（2007年）：Windows Vista 中加强了用户权限控制和安全性，推出了更复杂的文件和文件夹权限系统。icacls 提供了比 cacls 更加细致和灵活的权限控制，支持的功能包括文件继承、完整性控制、权限的递归应用等。

  • Windows Server 2008（2008年）：与 Windows Vista 同时，Windows Server 2008 引入了 icacls，该工具与服务器版本的安全策略和大规模权限管理需求密切相关。对于企业用户而言，icacls 是更强大的工具，特别是对于那些需要高效管理成千上万文件和文件夹权限的 IT 管理员来说，icacls 的功能变得非常关键。

3. icacls 的功能增强与普及

icacls 被设计为比 cacls 更加灵活、强大且易于管理的大规模文件权限工具。它的核心特点包括：

  • 支持权限继承：icacls 能够更好地处理文件和文件夹权限的继承（即子文件夹和文件是否继承父文件夹的权限）。
  • 完整性级别支持：icacls 引入了完整性控制（integrity levels），这是一种基于安全性要求的权限控制机制，用于提高对特权操作的保护。
  • 批量操作和递归设置：icacls 允许管理员递归地更改整个文件夹及其所有子文件和子文件夹的权限，这对于管理大型目录结构中的权限非常重要。
  • 备份和恢复权限：icacls 支持将权限设置备份到文件，并在需要时恢复，这在迁移或灾难恢复中非常有用。

4. icacls 与现代 Windows 版本

自从 Windows Vista 和 Windows Server 2008 引入以来，icacls 一直是 Windows 系统中默认的权限管理工具，并且在后续版本中得到了进一步的支持和优化，包括：

  • Windows 7（2009年）：继续支持和优化 icacls，让管理员能够更好地控制文件系统的权限。
  • Windows 8 和 8.1（2012年、2013年）：在 icacls 的基础上进行了一些增强，提供了更多命令行选项和更强的兼容性。
  • Windows 10（2015年）：继续沿用 icacls，并针对现代计算环境中的安全需求进一步优化了权限管理。
  • Windows 11（2021年）：保持了对 icacls 的支持，继续是权限管理的主要命令行工具。

5. icacls 与 PowerShell 权限管理

虽然 icacls 是一个命令行工具，但在 PowerShell 环境下，管理员通常也会使用 Get-Acl 和 Set-Acl cmdlet 来查看和修改文件或目录的权限。这些 cmdlet 提供了 PowerShell 环境中访问控制列表（ACL）的管理方式，而 icacls 在某些情况下仍然是更直接和有效的命令行解决方案，尤其是在批量操作和快速脚本化的场景中。

icacls 是 Windows Vista 和 Windows Server 2008 引入的一个重要工具，它的推出标志着对 Windows 文件系统中权限管理的重大改进。作为 cacls 和 xcacls 的继任者，icacls 提供了更强大、灵活的权限管理功能，并得到了 Windows 系统各个版本的广泛支持。它不仅帮助管理员高效地管理和配置文件权限，还引入了许多现代安全机制，如完整性控制和递归权限设置，使其成为 Windows 系统中不可或缺的工具之一。

icacls 命令的整个发展过程与 Windows 操作系统中文件系统权限管理的演变密切相关。自其首次在 Windows Vista 中推出以来，icacls 的功能和使用场景经历了多个阶段的扩展和优化。以下是 icacls 发展过程的各个阶段：

1. 前期（Windows XP 及之前）：cacls 和 xcacls

在 icacls 被引入之前，Windows 操作系统使用了 cacls 和 xcacls 这两个命令行工具来管理文件权限。

  • cacls（Access Control List，ACL）是 Windows XP 和早期版本的基本工具，用于显示或修改文件和目录的权限。它的功能比较基础，只能管理文件的用户权限，且操作不够灵活。
  • xcacls 是 cacls 的扩展版，提供了一些附加功能，如对权限的更灵活操作、批量处理能力等。

尽管这些工具能基本满足文件权限管理的需求，但它们的功能比较简单，且没有很好地支持更复杂的权限继承、细粒度控制等需求。

2. 引入阶段（Windows Vista 和 Server 2008）

icacls 在 Windows Vista 和 Windows Server 2008 中首次被引入，标志着文件系统权限管理的一次重要升级。这一阶段的 icacls 命令有以下特点：

  • 替代 cacls 和 xcacls：icacls 被设计为新的权限管理工具，取代了过时的 cacls 和 xcacls，提供了更强大的功能。
  • 权限继承的支持：icacls 支持对文件和文件夹的权限继承机制进行细粒度控制，允许用户指定子文件夹和文件是否继承父文件夹的权限。
  • 复杂权限管理：引入了对权限类型的更细化设置，例如，可以设置用户或组对文件夹或文件的访问权限（读取、写入、执行、修改等）。
  • 完整性级别支持：icacls 在 Windows Vista 引入了完整性控制（Integrity Level，IL），帮助更好地保护系统免受恶意软件或不受信任的程序的影响。

3. 功能增强（Windows 7 和 Server 2008 R2）

在 Windows 7 和 Windows Server 2008 R2 中，icacls 继续得到了增强。主要的改进包括：

  • 更好的性能和可靠性：在文件系统较大或权限结构复杂的情况下，icacls 提供了更高效的权限管理。
  • 递归设置权限：icacls 支持递归地修改文件夹及其所有子文件的权限，可以快速对整个文件树进行批量操作，这对于管理员在处理大型文件系统时非常重要。
  • 支持多个文件操作：允许用户同时修改多个文件或文件夹的权限，极大提升了操作效率。
  • 导出与导入权限：icacls 引入了备份和恢复权限的功能，可以将文件或文件夹的权限设置导出到文件中，并在需要时恢复，方便管理员进行备份和灾难恢复操作。

4. 标准化与优化（Windows 8, 8.1, 和 Server 2012）

在 Windows 8, Windows 8.1 和 Windows Server 2012 中，icacls 继续保持其核心功能并进行了一些优化：

  • 与新的安全功能兼容：Windows 8 引入了许多新的安全技术（如 Windows Defender, BitLocker 等），icacls 保持与这些新安全功能的兼容性，确保用户可以在新的安全环境中继续高效管理权限。
  • 增强的批量操作：在处理大量文件或复杂的权限结构时，icacls 的性能进一步优化，能够更快速地应用权限更改。
  • 更好的与 PowerShell 的集成：虽然 icacls 是一个命令行工具，但管理员可以通过 PowerShell 脚本来调用 icacls，实现更复杂的自动化任务。

5. 现代阶段（Windows 10, Windows 11, Server 2016/2019/2022）

从 Windows 10 到 Windows Server 2022，icacls 已经成为 Windows 系统中不可或缺的一部分，以下是一些关键特点：

  • 与现代管理工具兼容：在现代 Windows 系统中，icacls 被用于大规模的文件和权限管理，尤其在 IT 管理员需要进行批量操作时，icacls 提供了简便且高效的解决方案。
  • 与 Windows 权限模型兼容：icacls 支持最新的权限模型，包括对文件和文件夹访问的更细粒度控制，以及对 Windows 安全模型（如 UAC、AppLocker 等）的支持。
  • 继续优化递归权限设置：对于大量的文件夹和文件，icacls 能够有效地递归应用权限设置，且操作速度更快，管理更加高效。
  • 与云存储的集成：在 Windows 10 和 Windows Server 2016/2019/2022 环境中，icacls 已与一些现代存储技术（如 OneDrive 和 SharePoint）进行更好的集成，支持跨设备和跨平台的权限管理。

6. 总结：icacls 的发展趋势

  • 灵活性和可扩展性：icacls 在不断发展的过程中，逐步引入了更多的安全控制选项，使得它成为一个功能更强大、灵活且易于使用的文件权限管理工具。
  • 现代化和自动化：随着自动化需求的增长，icacls 被广泛应用于批处理、PowerShell 脚本和大规模企业环境中的权限管理。
  • 更强的安全性：icacls 在不断增强权限控制的同时，逐步与 Windows 安全技术相结合，帮助管理员有效管理文件和文件夹的访问权限，增强了系统的安全性。

随着 Windows 操作系统的不断演进，icacls 作为文件权限管理的核心工具，预计将继续被优化和扩展，支持更加复杂和灵活的权限管理需求。

ICACLS name /save aclfile [/T] [/C] [/L] [/Q]
    将匹配名称的文件和文件夹的 DACL 存储到 aclfile 中
    以便将来与 /restore 一起使用。请注意，未保存 SACL、
    所有者或完整性标签。

ICACLS directory [/substitute SidOld SidNew [...]] /restore aclfile
                 [/C] [/L] [/Q]
    将存储的 DACL 应用于目录中的文件。

ICACLS name /setowner user [/T] [/C] [/L] [/Q]
    更改所有匹配名称的所有者。该选项不会强制更改所有
    身份；使用 takeown.exe 实用程序可实现
    该目的。

ICACLS name /findsid Sid [/T] [/C] [/L] [/Q]
    查找包含显式提及 SID 的 ACL 的
    所有匹配名称。

ICACLS name /verify [/T] [/C] [/L] [/Q]
    查找其 ACL 不规范或长度与 ACE
    计数不一致的所有文件。

ICACLS name /reset [/T] [/C] [/L] [/Q]
    为所有匹配文件使用默认继承的 ACL 替换 ACL。

ICACLS name [/grant[:r] Sid:perm[...]]
       [/deny Sid:perm [...]]
       [/remove[:g|:d]] Sid[...]] [/T] [/C] [/L] [/Q]
       [/setintegritylevel Level:policy[...]]

    /grant[:r] Sid:perm 授予指定的用户访问权限。如果使用 :r，
        这些权限将替换以前授予的所有显式权限。
        如果不使用 :r，这些权限将添加到以前授予的
        所有显式权限。

    /deny Sid:perm 显式拒绝指定的用户访问权限。
        将为列出的权限添加显式拒绝 ACE，
        并删除所有显式授予的权限中的相同权限。

    /remove[:[g|d]] Sid 删除 ACL 中所有出现的 SID。使用
        :g，将删除授予该 SID 的所有权限。使用
        :d，将删除拒绝该 SID 的所有权限。

    /setintegritylevel [(CI)(OI)]级别将完整性 ACE 显式
        添加到所有匹配文件。要指定的级别为以下级别
        之一:
             L[ow]
             M[edium]
             H[igh]
        完整性 ACE 的继承选项可以优先于级别，但只应用于
        目录。

    /inheritance:e|d|r
        e - 启用继承
        d - 禁用继承并复制 ACE
        r - 删除所有继承的 ACE


注意:
    Sid 可以采用数字格式或友好的名称格式。如果给定数字格式，
    那么请在 SID 的开头添加一个 *。

    /T 指示在以该名称指定的目录下的所有匹配文件/目录上
        执行此操作。

    /C 指示此操作将在所有文件错误上继续进行。
        仍将显示错误消息。

    /L 指示此操作在符号
      链接本身而不是其目标上执行。

    /Q 指示 icacls 应该禁止显示成功消息。

    ICACLS 保留 ACE 项的规范顺序:
            显式拒绝
            显式授予
            继承的拒绝
            继承的授予

    perm 是权限掩码，可以指定两种格式之一:
        简单权限序列:
                N - 无访问权限
                F - 完全访问权限
                M - 修改权限
                RX - 读取和执行权限
                R - 只读权限
                W - 只写权限
                D - 删除权限
        在括号中以逗号分隔的特定权限列表:
                DE - 删除
                RC - 读取控制
                WDAC - 写入 DAC
                WO - 写入所有者
                S - 同步
                AS - 访问系统安全性
                MA - 允许的最大值
                GR - 一般性读取
                GW - 一般性写入
                GE - 一般性执行
                GA - 全为一般性
                RD - 读取数据/列出目录
                WD - 写入数据/添加文件
                AD - 附加数据/添加子目录
                REA - 读取扩展属性
                WEA - 写入扩展属性
                X - 执行/遍历
                DC - 删除子项
                RA - 读取属性
                WA - 写入属性
        继承权限可以优先于每种格式，但只应用于
        目录:
                (OI) - 对象继承
                (CI) - 容器继承
                (IO) - 仅继承
                (NP) - 不传播继承
                (I) - 从父容器继承的权限

示例:

        icacls c:\windows\* /save AclFile /T
        - 将 c:\windows 及其子目录下所有文件的
          ACL 保存到 AclFile。

        icacls c:\windows\ /restore AclFile
        - 将还原 c:\windows 及其子目录下存在的 AclFile 内
          所有文件的 ACL。

        icacls file /grant Administrator:(D,WDAC)
        - 将授予用户对文件删除和写入 DAC 的管理员
          权限。

        icacls file /grant *S-1-1-0:(D,WDAC)
        - 将授予由 sid S-1-1-0 定义的用户对文件删除和
          写入 DAC 的权限。

 

posted @ 2024-11-21 13:39  suv789  阅读(1314)  评论(0)    收藏  举报