个人主页杨利杰YJlio❄️个人专栏《Sysinternals实战教程》 《Windows PowerShell 实战》 《WINDOWS教程》 《IOS教程》《微信助手》 《锤子助手》 《Python》 《Kali Linux》《那些年未解决的Windows疑难杂症》让复杂的事情更简单让重复的工作自动化AccessEnum 学习笔记9.10一键盘点“谁能访问什么”——文件/注册表权限体检与修复问题背景权限问题不是“能不能访问”而是“谁能改”AccessEnum 是什么权限体检的可视化入口高风险权限模式优先看写权限和完全控制快速上手5 步完成一次权限体检复核与修复AccessEnum 发现问题AccessChk 精准确认注册表权限启动项和服务项必须重点看重点扫描清单别盲扫全盘先扫高价值位置输出字段怎么读不要只看 Path常见坑修权限比发现权限更容易出事故融入团队流程权限体检要变成周期动作总结AccessEnum 是权限风险初筛器不是最终裁判问题背景权限问题不是“能不能访问”而是“谁能改”在 Windows 运维和安全审计里权限问题经常被低估。很多人只关心“用户能不能打开文件”“程序能不能正常运行”但真正危险的地方往往不是读权限而是写权限、修改权限和完全控制权限。一个普通用户如果能写入应用安装目录就可能替换 EXE 或 DLL如果能写入共享根目录就可能投放脚本、木马或勒索入口如果能写入注册表启动项就可能制造持久化如果某个子目录继承断裂又额外给了 Everyone 或 Users 写权限那就是典型的“看起来正常实际上留洞”。AccessEnum 的价值就是把文件、共享、注册表里的访问权限用可视化方式快速拉出来让你一眼看到“谁能访问什么、谁能写什么、哪里存在过度授权”。这张图展示的是 AccessEnum 的权限体检总览它关注文件、共享、注册表等对象同时把读、写、完全控制这些权限关系直观呈现出来用来快速发现过度授权风险。从图中可以看出AccessEnum 不是替代 ACL 机制的工具而是把原本分散在文件系统和注册表里的权限关系集中呈现出来。对于一线排查来说它最大的好处是降低初筛门槛先把明显风险找出来再用 AccessChk 或 icacls 精细复核。AccessEnum 是什么权限体检的可视化入口AccessEnum 是 Sysinternals 提供的图形化权限枚举工具。它可以从某个目录、共享路径或注册表节点开始扫描批量列出对象对常见主体的访问权限例如 Everyone、Users、Authenticated Users、Guests、Administrators 等。与命令行工具 AccessChk 相比AccessEnum 的优势不是精确到每个参数而是适合初筛。你把一个目录或注册表分支丢给它它会把可疑对象列出来方便你快速判断哪里权限异常。在实际工作中推荐把二者配合使用AccessEnum 用来广域扫描和可视化发现问题AccessChk 用来对某个具体账号、组、路径做精准核查。再往后icacls 和 PowerShell 才是实际修复工具。比较稳的打法是AccessEnum 先列问题AccessChk 再精核对icacls 或 PowerShell 最后修复。AccessEnum 适合这些场景1. 共享目录权限体检 2. 应用安装目录权限排查 3. ProgramData / 自研目录权限盘点 4. 注册表启动项权限检查 5. 服务注册表项权限审计 6. 上线前权限复核 7. 资产交接或内控检查不要把 AccessEnum 的扫描结果直接等同于最终整改结论。它更适合作为风险初筛工具真正整改前还要结合业务用途、继承关系、有效权限和实际影响复核。高风险权限模式优先看写权限和完全控制权限审计最怕平均用力。读权限、写权限、完全控制、继承、所有者、特殊权限全都看最后很容易被输出淹没。真正要优先抓的是那些可以改变对象状态的权限写入、修改、删除、改 ACL、完全控制。这张图展示的是 AccessEnum 体检中最常见的高风险权限模式Everyone 可写、Users 完全控制、继承断裂、注册表关键位可写、应用目录可写。从图中可以看出风险并不只发生在共享目录里。应用安装目录、注册表启动位点、服务配置项、自研部署目录都可能因为一次临时放权、一次安装程序误配置、一次手工修复而留下长期隐患。第一类高风险是 Everyone 或 Users 对业务目录拥有写权限。如果这个目录会被脚本执行、服务读取、计划任务调用那么普通用户写入就可能演变成投毒、劫持或横向移动入口。第二类高风险是继承断裂。父目录权限很规范但某个子目录手工加了 Authenticated Users 完全控制这种“局部例外”最容易被忽略也最容易成为攻击落点。第三类高风险是注册表关键位点可写。例如 Run、RunOnce、Services、Image File Execution Options 等位置如果普通用户可写就可能被用于持久化、提权或劫持。第四类高风险是应用目录可写。尤其是 C:\Program Files、C:\Program Files (x86)、第三方软件安装目录、自研服务目录。如果普通用户能写入 EXE 或 DLL 所在目录就要高度警惕。记住一个原则能写才真正危险能改 ACL则更危险。读权限当然也有数据泄露风险但在权限加固场景下写权限和完全控制的优先级更高。快速上手5 步完成一次权限体检AccessEnum 的使用并不复杂。以管理员身份运行工具选择 Files 或 Registry指定扫描根路径开始扫描然后按写权限、完全控制、继承异常排序和筛选。最后把结果导出进入复核和整改环节。这张图展示的是权限体检的标准操作流扫描、标记、复核、修复、复测。它不是一次性动作而是一个闭环流程。从图中可以看出扫描只是第一步。真正有价值的是后面的标记、复核、修复和复测。如果只扫不修权限体检就变成了形式主义如果只修不复测就无法确认风险是否真的消失。标准操作可以这样执行第一步以管理员身份运行 AccessEnum 第二步选择扫描对象Files 或 Registry 第三步指定根路径例如 D:\Share 或 HKLM\Software 第四步Start 扫描优先查看 Write / Full Control 第五步导出 CSV进入复核和整改建议优先扫描数据盘、共享目录、自研目录、第三方应用目录而不是一上来就扫整个系统盘。系统盘噪声高结果多容易把你带偏。推荐先扫业务数据盘和共享根目录因为这些地方最容易因为临时协作、项目交付、历史迁移而留下过度授权。如果扫描结果很多可以先按下面几个关键词筛选Everyone、Users、Authenticated Users、Write、Full Control、InheritedNo。这样能快速把风险从海量结果里捞出来。选择扫描根路径AccessEnum 扫描筛选 Write / Full Control标记 Everyone / Users / 继承断裂AccessChk 精准复核icacls / PowerShell 修复AccessEnum 回扫复测导出证据并归档复核与修复AccessEnum 发现问题AccessChk 精准确认AccessEnum 的作用是发现可疑点但真正要动权限之前建议用 AccessChk 精准复核。原因很简单权限不是只看表面 ACL还要考虑继承、拒绝 ACE、所有者、组成员关系和有效权限。这张图展示的是 AccessEnum、AccessChk、icacls、PowerShell 的联动关系AccessEnum 负责发现问题AccessChk 负责精准核对icacls 负责权限修复PowerShell 负责自动化复测和报告输出。从图中可以看出权限整改不能只靠一个工具。AccessEnum 看得快AccessChk 查得准icacls 改得直接PowerShell 适合批量化和留痕。四者组合起来才更适合企业环境。例如AccessEnum 发现 D:\Share\ProjectA 对 Everyone 或 Users 存在写权限可以用 AccessChk 继续核对:: 检查 Everyone 对目标路径的写权限 accesschk -d -o -wv Everyone D:\Share\ProjectA :: 检查 Users 对目标路径的写权限 accesschk -d -o -wv Users D:\Share\ProjectA :: 递归核对 Authenticated Users accesschk -d -o -s -wv Authenticated Users D:\Share\ProjectA确认风险后再考虑用 icacls 修复:: 移除 Everyone / Users 的显式授权 icacls D:\Share\ProjectA /remove:g Everyone Users :: 恢复继承 icacls D:\Share\ProjectA /inheritance:e :: 授予普通域用户只读执行权限 icacls D:\Share\ProjectA /grant Domain Users:(RX) :: 授予项目编辑组修改权限 icacls D:\Share\ProjectA /grant CORP\ProjA-Editors:(OI)(CI)(M)不要直接对生产目录批量执行权限回收尤其是没有业务确认时。你可能修掉了安全风险也可能同时修掉了业务系统的写入能力。正确做法是先确认目录用途、实际使用组、应用服务账户、计划任务、部署流水线再做最小化授权。注册表权限启动项和服务项必须重点看很多权限审计只看文件系统忽略注册表。这个习惯不严谨。Windows 的启动项、服务配置、IFEO 劫持、应用参数、驱动配置很多都在注册表里。普通用户如果能写这些位置风险并不比文件目录低。建议重点关注以下注册表位置HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce HKLM\System\CurrentControlSet\Services HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options如果 AccessEnum 或 AccessChk 发现 Users、Everyone、Authenticated Users 对这些位置有写权限就必须进一步确认来源。注册表修复可以用 PowerShell 做但一定要更谨慎。下面示例仅用于说明思路# 示例移除 Users 对某应用注册表项的写入给业务服务账户最小授权$pathHKLM:\Software\Vendor\App$aclGet-Acl$path$ruleRemoveNew-ObjectSystem.Security.AccessControl.RegistryAccessRule(Users,SetValue,CreateSubKey,ContainerInherit,None,Allow)$acl.RemoveAccessRule($ruleRemove)|Out-Null$ruleAddNew-ObjectSystem.Security.AccessControl.RegistryAccessRule(CORP\AppSvc,ReadKey,SetValue,ContainerInherit,None,Allow)$acl.AddAccessRule($ruleAdd)Set-Acl$path$acl注册表权限修复的本质不是“谁都不能写”而是“只有该写的人能写”。服务账户、部署账户、应用程序自身可能确实需要部分写权限关键是不能给宽泛大组。重点扫描清单别盲扫全盘先扫高价值位置权限体检不是扫得越多越好而是先扫最容易出问题、最可能被利用、最有业务价值的位置。盲扫整个系统盘会产生大量噪声最后很难推动整改。这张图展示的是 AccessEnum 权限体检中的重点扫描清单共享目录、应用安装目录、ProgramData、自研目录、Run 注册表、Services 注册表以及修复后回扫和审计记录。从图中可以看出重点扫描对象不是随机选的。共享目录是协作高发区应用目录关系到 DLL/EXE 劫持ProgramData 经常被第三方软件使用自研目录容易被临时放权Run 和 Services 则直接关系到启动和服务持久化。建议按下面顺序做周期性扫描1. 共享根目录 D:\Share \\filesrv\public 2. 应用安装目录 C:\Program Files C:\Program Files (x86) C:\ProgramData 3. 自研部署目录 D:\apps D:\data D:\deploy 4. 临时与开发目录 D:\temp C:\temp 5. 注册表启动项 HKLM\Software\Microsoft\Windows\CurrentVersion\Run* HKCU\Software\Microsoft\Windows\CurrentVersion\Run* 6. 服务配置项 HKLM\System\CurrentControlSet\Services推荐先建立一份“黄金基线”。比如标准文件服务器、标准应用服务器、标准终端镜像各跑一份权限扫描后续只看新增差异和异常放权。不要把临时目录当成天然低风险。很多投递、解压、脚本执行、安装缓存都发生在临时目录。如果临时目录又被服务或计划任务引用风险会被放大。输出字段怎么读不要只看 PathAccessEnum 的输出里最容易被关注的是路径。但真正判断风险时不能只看 Path还要看主体、权限级别、继承状态和所有者。字段含义判断重点Path文件、目录或注册表项路径结合父级判断是否局部异常Account / Group被授权的用户或组Everyone、Users、Authenticated Users 优先看AccessRead、Write、Full Control、SpecialWrite / Full Control 优先级最高Inherited是否继承No 通常说明有手工变更Owner对象所有者非常规所有者要复核如果某个路径显示 InheritedNo并且 Users 有 Write 或 Full Control这种情况就要优先标记。继承断裂并不必然有问题但它一定意味着这里和父级策略不一致需要解释。权限审计的核心不是看到异常就删而是能解释为什么它应该存在或者为什么它不应该存在。解释不了的权限才是最需要收敛的权限。常见坑修权限比发现权限更容易出事故AccessEnum 扫描本身是只读的相对安全。真正容易出事故的是后面的修复。你把 Everyone 删除了业务可能挂你恢复继承了某个历史兼容程序可能写不了你递归覆盖 ACL 了某些子目录的特殊授权可能被抹掉。常见坑有几个。第一扫描范围太大噪声过多。系统目录里有大量复杂权限刚开始不建议全盘扫。先扫业务目录、共享目录、自研目录收益更高。第二循环链接或联接点导致重复扫描。有些目录存在 reparse point如果不注意会让扫描结果膨胀甚至让你误判权限范围。第三无权读取 ACL。远程共享和注册表扫描尤其容易遇到权限不足。此时要确认你使用的账号是否有足够读取权限而不是直接相信扫描结果为空。第四修复后反弹。很多应用安装程序、CI/CD 流水线、部署脚本会在更新时重新写 ACL。如果你只手工修一次不把修复步骤纳入部署后置任务问题还会回来。权限修复前必须备份 ACL生产目录必须有回滚方案。常用 ACL 备份示例:: 备份 ACL icacls D:\Share\ProjectA /save C:\Temp\ProjectA_acl_before.txt /t :: 还原 ACL icacls D:\ /restore C:\Temp\ProjectA_acl_before.txt如果是注册表权限修复建议先导出对应注册表分支和当前 ACL 信息再进行变更。融入团队流程权限体检要变成周期动作AccessEnum 最适合进入团队流程而不是作为某个人临时想起来的工具。权限问题往往不是一天形成的而是多个项目、多个交付、多个临时授权长期堆出来的。建议把 AccessEnum 用在四个节点。第一周度或月度扫描。共享目录、应用目录、自研目录、关键注册表位点每月跑一次导出结果进入权限风险台账。第二变更前扫描。新系统上线、新目录创建、新共享开放前先看权限是否过度开放避免带病上线。第三安全内控抽查。安服、运维、应用负责人共同确认哪些组应该有读哪些组应该有写哪些组必须移除。第四整改后复测。每个异常项都应该有“发现时间、责任人、修复命令、复测截图或 CSV、关闭时间”。权限体检的成熟做法不是扫出一堆问题而是形成发现、论证、整改、复测、归档的闭环。AccessEnum 初筛风险台账业务负责人确认AccessChk 精核icacls / PowerShell 修复AccessEnum 回扫归档 CSV / 变更单更新权限基线总结AccessEnum 是权限风险初筛器不是最终裁判AccessEnum 的定位要讲清楚它是权限风险初筛器不是最终裁判。它能快速帮你发现文件、共享、注册表中的过度授权、继承异常和可疑写权限但最终是否整改、如何整改还要结合业务用途和有效权限复核。这篇文章最重要的判断是权限体检的重点不是“谁能读”而是“谁能写、谁能改、谁能完全控制”。只要普通用户能写关键目录、关键注册表、应用安装路径就可能从权限问题演变为安全问题。比较稳的工作方式是AccessEnum 做广域可视化扫描AccessChk 做精准核对icacls 和 PowerShell 做标准化修复Procmon 用于追踪“到底是谁在改 ACL 或写关键路径”。如果你负责企业 Windows 运维、共享目录治理、终端安全或内控审计建议把 AccessEnum 固化进周期巡检。不要等到勒索、投毒、越权访问之后才回头查 Everyone 为什么有写权限。 返回顶部点击回到顶部
《Sysinternals实战指南》AccessEnum 学习笔记（9.10）：一键盘点“谁能访问什么”——文件/注册表权限体检与修复
发布时间：2026/5/22 17:01:08
个人主页杨利杰YJlio❄️个人专栏《Sysinternals实战教程》 《Windows PowerShell 实战》 《WINDOWS教程》 《IOS教程》《微信助手》 《锤子助手》 《Python》 《Kali Linux》《那些年未解决的Windows疑难杂症》让复杂的事情更简单让重复的工作自动化AccessEnum 学习笔记9.10一键盘点“谁能访问什么”——文件/注册表权限体检与修复问题背景权限问题不是“能不能访问”而是“谁能改”AccessEnum 是什么权限体检的可视化入口高风险权限模式优先看写权限和完全控制快速上手5 步完成一次权限体检复核与修复AccessEnum 发现问题AccessChk 精准确认注册表权限启动项和服务项必须重点看重点扫描清单别盲扫全盘先扫高价值位置输出字段怎么读不要只看 Path常见坑修权限比发现权限更容易出事故融入团队流程权限体检要变成周期动作总结AccessEnum 是权限风险初筛器不是最终裁判问题背景权限问题不是“能不能访问”而是“谁能改”在 Windows 运维和安全审计里权限问题经常被低估。很多人只关心“用户能不能打开文件”“程序能不能正常运行”但真正危险的地方往往不是读权限而是写权限、修改权限和完全控制权限。一个普通用户如果能写入应用安装目录就可能替换 EXE 或 DLL如果能写入共享根目录就可能投放脚本、木马或勒索入口如果能写入注册表启动项就可能制造持久化如果某个子目录继承断裂又额外给了 Everyone 或 Users 写权限那就是典型的“看起来正常实际上留洞”。AccessEnum 的价值就是把文件、共享、注册表里的访问权限用可视化方式快速拉出来让你一眼看到“谁能访问什么、谁能写什么、哪里存在过度授权”。这张图展示的是 AccessEnum 的权限体检总览它关注文件、共享、注册表等对象同时把读、写、完全控制这些权限关系直观呈现出来用来快速发现过度授权风险。从图中可以看出AccessEnum 不是替代 ACL 机制的工具而是把原本分散在文件系统和注册表里的权限关系集中呈现出来。对于一线排查来说它最大的好处是降低初筛门槛先把明显风险找出来再用 AccessChk 或 icacls 精细复核。AccessEnum 是什么权限体检的可视化入口AccessEnum 是 Sysinternals 提供的图形化权限枚举工具。它可以从某个目录、共享路径或注册表节点开始扫描批量列出对象对常见主体的访问权限例如 Everyone、Users、Authenticated Users、Guests、Administrators 等。与命令行工具 AccessChk 相比AccessEnum 的优势不是精确到每个参数而是适合初筛。你把一个目录或注册表分支丢给它它会把可疑对象列出来方便你快速判断哪里权限异常。在实际工作中推荐把二者配合使用AccessEnum 用来广域扫描和可视化发现问题AccessChk 用来对某个具体账号、组、路径做精准核查。再往后icacls 和 PowerShell 才是实际修复工具。比较稳的打法是AccessEnum 先列问题AccessChk 再精核对icacls 或 PowerShell 最后修复。AccessEnum 适合这些场景1. 共享目录权限体检 2. 应用安装目录权限排查 3. ProgramData / 自研目录权限盘点 4. 注册表启动项权限检查 5. 服务注册表项权限审计 6. 上线前权限复核 7. 资产交接或内控检查不要把 AccessEnum 的扫描结果直接等同于最终整改结论。它更适合作为风险初筛工具真正整改前还要结合业务用途、继承关系、有效权限和实际影响复核。高风险权限模式优先看写权限和完全控制权限审计最怕平均用力。读权限、写权限、完全控制、继承、所有者、特殊权限全都看最后很容易被输出淹没。真正要优先抓的是那些可以改变对象状态的权限写入、修改、删除、改 ACL、完全控制。这张图展示的是 AccessEnum 体检中最常见的高风险权限模式Everyone 可写、Users 完全控制、继承断裂、注册表关键位可写、应用目录可写。从图中可以看出风险并不只发生在共享目录里。应用安装目录、注册表启动位点、服务配置项、自研部署目录都可能因为一次临时放权、一次安装程序误配置、一次手工修复而留下长期隐患。第一类高风险是 Everyone 或 Users 对业务目录拥有写权限。如果这个目录会被脚本执行、服务读取、计划任务调用那么普通用户写入就可能演变成投毒、劫持或横向移动入口。第二类高风险是继承断裂。父目录权限很规范但某个子目录手工加了 Authenticated Users 完全控制这种“局部例外”最容易被忽略也最容易成为攻击落点。第三类高风险是注册表关键位点可写。例如 Run、RunOnce、Services、Image File Execution Options 等位置如果普通用户可写就可能被用于持久化、提权或劫持。第四类高风险是应用目录可写。尤其是 C:\Program Files、C:\Program Files (x86)、第三方软件安装目录、自研服务目录。如果普通用户能写入 EXE 或 DLL 所在目录就要高度警惕。记住一个原则能写才真正危险能改 ACL则更危险。读权限当然也有数据泄露风险但在权限加固场景下写权限和完全控制的优先级更高。快速上手5 步完成一次权限体检AccessEnum 的使用并不复杂。以管理员身份运行工具选择 Files 或 Registry指定扫描根路径开始扫描然后按写权限、完全控制、继承异常排序和筛选。最后把结果导出进入复核和整改环节。这张图展示的是权限体检的标准操作流扫描、标记、复核、修复、复测。它不是一次性动作而是一个闭环流程。从图中可以看出扫描只是第一步。真正有价值的是后面的标记、复核、修复和复测。如果只扫不修权限体检就变成了形式主义如果只修不复测就无法确认风险是否真的消失。标准操作可以这样执行第一步以管理员身份运行 AccessEnum 第二步选择扫描对象Files 或 Registry 第三步指定根路径例如 D:\Share 或 HKLM\Software 第四步Start 扫描优先查看 Write / Full Control 第五步导出 CSV进入复核和整改建议优先扫描数据盘、共享目录、自研目录、第三方应用目录而不是一上来就扫整个系统盘。系统盘噪声高结果多容易把你带偏。推荐先扫业务数据盘和共享根目录因为这些地方最容易因为临时协作、项目交付、历史迁移而留下过度授权。如果扫描结果很多可以先按下面几个关键词筛选Everyone、Users、Authenticated Users、Write、Full Control、InheritedNo。这样能快速把风险从海量结果里捞出来。选择扫描根路径AccessEnum 扫描筛选 Write / Full Control标记 Everyone / Users / 继承断裂AccessChk 精准复核icacls / PowerShell 修复AccessEnum 回扫复测导出证据并归档复核与修复AccessEnum 发现问题AccessChk 精准确认AccessEnum 的作用是发现可疑点但真正要动权限之前建议用 AccessChk 精准复核。原因很简单权限不是只看表面 ACL还要考虑继承、拒绝 ACE、所有者、组成员关系和有效权限。这张图展示的是 AccessEnum、AccessChk、icacls、PowerShell 的联动关系AccessEnum 负责发现问题AccessChk 负责精准核对icacls 负责权限修复PowerShell 负责自动化复测和报告输出。从图中可以看出权限整改不能只靠一个工具。AccessEnum 看得快AccessChk 查得准icacls 改得直接PowerShell 适合批量化和留痕。四者组合起来才更适合企业环境。例如AccessEnum 发现 D:\Share\ProjectA 对 Everyone 或 Users 存在写权限可以用 AccessChk 继续核对:: 检查 Everyone 对目标路径的写权限 accesschk -d -o -wv Everyone D:\Share\ProjectA :: 检查 Users 对目标路径的写权限 accesschk -d -o -wv Users D:\Share\ProjectA :: 递归核对 Authenticated Users accesschk -d -o -s -wv Authenticated Users D:\Share\ProjectA确认风险后再考虑用 icacls 修复:: 移除 Everyone / Users 的显式授权 icacls D:\Share\ProjectA /remove:g Everyone Users :: 恢复继承 icacls D:\Share\ProjectA /inheritance:e :: 授予普通域用户只读执行权限 icacls D:\Share\ProjectA /grant Domain Users:(RX) :: 授予项目编辑组修改权限 icacls D:\Share\ProjectA /grant CORP\ProjA-Editors:(OI)(CI)(M)不要直接对生产目录批量执行权限回收尤其是没有业务确认时。你可能修掉了安全风险也可能同时修掉了业务系统的写入能力。正确做法是先确认目录用途、实际使用组、应用服务账户、计划任务、部署流水线再做最小化授权。注册表权限启动项和服务项必须重点看很多权限审计只看文件系统忽略注册表。这个习惯不严谨。Windows 的启动项、服务配置、IFEO 劫持、应用参数、驱动配置很多都在注册表里。普通用户如果能写这些位置风险并不比文件目录低。建议重点关注以下注册表位置HKLM\Software\Microsoft\Windows\CurrentVersion\Run HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce HKCU\Software\Microsoft\Windows\CurrentVersion\Run HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce HKLM\System\CurrentControlSet\Services HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options如果 AccessEnum 或 AccessChk 发现 Users、Everyone、Authenticated Users 对这些位置有写权限就必须进一步确认来源。注册表修复可以用 PowerShell 做但一定要更谨慎。下面示例仅用于说明思路# 示例移除 Users 对某应用注册表项的写入给业务服务账户最小授权$pathHKLM:\Software\Vendor\App$aclGet-Acl$path$ruleRemoveNew-ObjectSystem.Security.AccessControl.RegistryAccessRule(Users,SetValue,CreateSubKey,ContainerInherit,None,Allow)$acl.RemoveAccessRule($ruleRemove)|Out-Null$ruleAddNew-ObjectSystem.Security.AccessControl.RegistryAccessRule(CORP\AppSvc,ReadKey,SetValue,ContainerInherit,None,Allow)$acl.AddAccessRule($ruleAdd)Set-Acl$path$acl注册表权限修复的本质不是“谁都不能写”而是“只有该写的人能写”。服务账户、部署账户、应用程序自身可能确实需要部分写权限关键是不能给宽泛大组。重点扫描清单别盲扫全盘先扫高价值位置权限体检不是扫得越多越好而是先扫最容易出问题、最可能被利用、最有业务价值的位置。盲扫整个系统盘会产生大量噪声最后很难推动整改。这张图展示的是 AccessEnum 权限体检中的重点扫描清单共享目录、应用安装目录、ProgramData、自研目录、Run 注册表、Services 注册表以及修复后回扫和审计记录。从图中可以看出重点扫描对象不是随机选的。共享目录是协作高发区应用目录关系到 DLL/EXE 劫持ProgramData 经常被第三方软件使用自研目录容易被临时放权Run 和 Services 则直接关系到启动和服务持久化。建议按下面顺序做周期性扫描1. 共享根目录 D:\Share \\filesrv\public 2. 应用安装目录 C:\Program Files C:\Program Files (x86) C:\ProgramData 3. 自研部署目录 D:\apps D:\data D:\deploy 4. 临时与开发目录 D:\temp C:\temp 5. 注册表启动项 HKLM\Software\Microsoft\Windows\CurrentVersion\Run* HKCU\Software\Microsoft\Windows\CurrentVersion\Run* 6. 服务配置项 HKLM\System\CurrentControlSet\Services推荐先建立一份“黄金基线”。比如标准文件服务器、标准应用服务器、标准终端镜像各跑一份权限扫描后续只看新增差异和异常放权。不要把临时目录当成天然低风险。很多投递、解压、脚本执行、安装缓存都发生在临时目录。如果临时目录又被服务或计划任务引用风险会被放大。输出字段怎么读不要只看 PathAccessEnum 的输出里最容易被关注的是路径。但真正判断风险时不能只看 Path还要看主体、权限级别、继承状态和所有者。字段含义判断重点Path文件、目录或注册表项路径结合父级判断是否局部异常Account / Group被授权的用户或组Everyone、Users、Authenticated Users 优先看AccessRead、Write、Full Control、SpecialWrite / Full Control 优先级最高Inherited是否继承No 通常说明有手工变更Owner对象所有者非常规所有者要复核如果某个路径显示 InheritedNo并且 Users 有 Write 或 Full Control这种情况就要优先标记。继承断裂并不必然有问题但它一定意味着这里和父级策略不一致需要解释。权限审计的核心不是看到异常就删而是能解释为什么它应该存在或者为什么它不应该存在。解释不了的权限才是最需要收敛的权限。常见坑修权限比发现权限更容易出事故AccessEnum 扫描本身是只读的相对安全。真正容易出事故的是后面的修复。你把 Everyone 删除了业务可能挂你恢复继承了某个历史兼容程序可能写不了你递归覆盖 ACL 了某些子目录的特殊授权可能被抹掉。常见坑有几个。第一扫描范围太大噪声过多。系统目录里有大量复杂权限刚开始不建议全盘扫。先扫业务目录、共享目录、自研目录收益更高。第二循环链接或联接点导致重复扫描。有些目录存在 reparse point如果不注意会让扫描结果膨胀甚至让你误判权限范围。第三无权读取 ACL。远程共享和注册表扫描尤其容易遇到权限不足。此时要确认你使用的账号是否有足够读取权限而不是直接相信扫描结果为空。第四修复后反弹。很多应用安装程序、CI/CD 流水线、部署脚本会在更新时重新写 ACL。如果你只手工修一次不把修复步骤纳入部署后置任务问题还会回来。权限修复前必须备份 ACL生产目录必须有回滚方案。常用 ACL 备份示例:: 备份 ACL icacls D:\Share\ProjectA /save C:\Temp\ProjectA_acl_before.txt /t :: 还原 ACL icacls D:\ /restore C:\Temp\ProjectA_acl_before.txt如果是注册表权限修复建议先导出对应注册表分支和当前 ACL 信息再进行变更。融入团队流程权限体检要变成周期动作AccessEnum 最适合进入团队流程而不是作为某个人临时想起来的工具。权限问题往往不是一天形成的而是多个项目、多个交付、多个临时授权长期堆出来的。建议把 AccessEnum 用在四个节点。第一周度或月度扫描。共享目录、应用目录、自研目录、关键注册表位点每月跑一次导出结果进入权限风险台账。第二变更前扫描。新系统上线、新目录创建、新共享开放前先看权限是否过度开放避免带病上线。第三安全内控抽查。安服、运维、应用负责人共同确认哪些组应该有读哪些组应该有写哪些组必须移除。第四整改后复测。每个异常项都应该有“发现时间、责任人、修复命令、复测截图或 CSV、关闭时间”。权限体检的成熟做法不是扫出一堆问题而是形成发现、论证、整改、复测、归档的闭环。AccessEnum 初筛风险台账业务负责人确认AccessChk 精核icacls / PowerShell 修复AccessEnum 回扫归档 CSV / 变更单更新权限基线总结AccessEnum 是权限风险初筛器不是最终裁判AccessEnum 的定位要讲清楚它是权限风险初筛器不是最终裁判。它能快速帮你发现文件、共享、注册表中的过度授权、继承异常和可疑写权限但最终是否整改、如何整改还要结合业务用途和有效权限复核。这篇文章最重要的判断是权限体检的重点不是“谁能读”而是“谁能写、谁能改、谁能完全控制”。只要普通用户能写关键目录、关键注册表、应用安装路径就可能从权限问题演变为安全问题。比较稳的工作方式是AccessEnum 做广域可视化扫描AccessChk 做精准核对icacls 和 PowerShell 做标准化修复Procmon 用于追踪“到底是谁在改 ACL 或写关键路径”。如果你负责企业 Windows 运维、共享目录治理、终端安全或内控审计建议把 AccessEnum 固化进周期巡检。不要等到勒索、投毒、越权访问之后才回头查 Everyone 为什么有写权限。 返回顶部点击回到顶部
