快速管理 IIS-Windows 命令行下修改文件访问控制权限

作者: 来源: 日期:2010-4-18

随着 windows XP/Server 2003 的流行,越来越多的用户开始选择 NTFS 文件系统,NTFS 的好处自然是大大增强了系统的安全性,在“安全”标签页下,我们可以在这里为不同级别的用户设置相应的访问控制权限,包括完全控制、修改、读取和运行、列出文件夹目录、读取、写入、特别的权限等,你只需要在“允许”和“拒绝”下简单勾选即可,点击“高级”按钮还可以设置更多的特殊权限,这里就不多说了。

其实,除了在图形用户界面下对文件或文件夹的访问控制权限进行设置外,我们还可以在命令行方式下完成这项工作,这在由于某些原因无法进入图形用户界面时特别实用,虽然使用时有些麻烦,但却可以救急。

一、使用 Cacls.exe 命令

这是一个在 Windows 2000/XP/Server 2003 操作系统下都可以使用的命令,作用是显示或者修改文件的访问控制表,在命令中可以使用通配符指定多个文件,也可以在命令中指定多个用户。命令语法如下:

Cacls filename [/T] [/E] [/C] [/G usererm] [/R user [...]] [/P usererm [...]] [/D user [...]]

  • Filename:显示访问控制列表 ( 以下简称 ACL)
  • /T:更改当前目录及其所有子目录中指定文件的 ACL
  • /E:编辑 ACL 而不替换,若不指定则将删除该目录所有的用户 NTFS 权限,再添加当前的。
  • /C:在出现拒绝访问错误时继续
  • /G Userer:perm:赋予指定用户访问权限,Perm 代表不同级别的访问权限,其值可以是 R( 读取 )、W( 写入 )、C( 更改,写入 )、F( 完全控制 ) 等。
  • /R user:撤销指定用户的访问权限,注意该参数仅在与“/E”一起使用时有效。
  • /P user:perm:替换指定用户的访问权限,perm 的含义同前,但增加了“N( 无 )”的选项。
  • /D user:拒绝指定用户的访问。

实例一:查看文件夹的访问控制权限

例如,这里我们希望查看 h:\emp 文件夹的访问控制权限,那么只需要在“开始→运行”对话框或切换到命令提示符模式下,键入如下命令:Cacls h:\emp

此时,我们会看到所有用户组和用户对 h:\emp 文件夹的访问控制权限项目,这里的 CI 表示 ACE 会由目录继承,OI 表示 ACE 会由文件继承,IO 表示 ACI 不适用于当前文件或目录,每行末尾的字母表示控制权限,例如 F 表示完全控制,C 表示更改,W 表示写入。

如果你希望查看该文件夹中所有文件 ( 包括子文件夹中的文件 ) 的访问控制权限,可以键入“Cacls h:\emp .”命令。

实例二:修改文件夹的访问控制权限

假如你希望给予本地用户 wzj9999 完全控制 h:\emp 文件夹及子文件夹中所有文件的访问权限,只需要键入如下命令:

Cacls h:\emp /t /e /c /g wzj9999:f

这里的“/t”表示修改文件夹及子文件夹中所有文件的 ACL,“/e”表示仅做编辑工作而不替换,“/c”表示在出现拒绝访问错误时继续,而“/g wzj9999:f”表示给予本地用户 wzj9999 以完全控制的权限,这里的“f”代表完全控制,如果只是希望给予读取权限,那么应当是“r”。

实例三:撤销用户的访问控制权限

如果你希望撤销 wzj9999 用户对 h:\emp 文件夹及其子文件夹的访问控制权限,可以键入如下命令:

cacls h:\emp /t /e /c /r wzj9999

如果只是拒绝用户的访问,那么可以键入如下命令:

cacls h:\emp /t /e /c /d wzj9999

二、使用增强工具 xcals.exe

在 windows 2000 资源工具包中,微软还提供了一个名为 xcacls.exe 的文件控制权限修改工具,其功能较 cacls.exe 更为强大,可以通过命令行设置所有可以在 windows 资源管理器中访问到的文件系统安全选项,我们可以从 http://www.microsoft.com/windows2000/techinfo/reskit/tools/existing/xcacls-o.asp 下载,安装后即可使用。

xcacls.exe 命令的语法和参数与 cacls.exe 基本相同,但不同的是它通过显示和修改文件的访问控制列表(acl)执行此操作。在“/g”参数后除保持原有的 perm 权限外,还增加了 spec(特殊访问权限 ) 的选项,另外还增加了“/y”的参数,表示禁止在替换用户访问权限时出现确认提示,而默认情况下,cacls.exe 是要求确认的,这样在批处理中调用 cacls.exe 命令时,程序将停止响应并等待输入正确的答案,引入“/y”参数后将可以取消此确认,这样我们就可以在批处理中使用 xcacls.exe 命令了。

实例一:查看文件或文件夹的权限

在“开始→运行”对话框或切换到命令提示符模式下,注意请事先将“c:program files esource kit”添加到“系统属性→高级→环境变量→系统变量”中,或者通过 cd 命令将其设置为当前路径,否则会提示找不到文件,然后键入如下命令:

xcacls h:\emp

此时,可以查看到所有用户组或用户对 h:\emp 文件夹的访问控制权限,io 表示此 ace 不应用于当前对象,ci 表示从属窗口将继承此 ace,oi 表示从属文件将继承该 ace,np 表示从属对象不继续传播继承的 ace,而每行末尾的字母表示不同级别的权限,例如 f 表示完全控制,c 表示更改,w 表示写入。

实例二:替换文件夹中的 acl 而不确认

xcacls h:\emp /g administrator:rw/y

以上命令将替换 h:\emp 文件夹中所有文件和文件夹的 acl,而不扫描子文件夹,也不会要求用户确认。

实例三:赋予某用户对文件夹的控制权限

xcacls h:\emp /g wzj9999:rwed;rw /e

以上命令将赋予用户 wzj9999 对 h:\emp 文件夹中所有新建文件的读取、写入、运行和删除权限,但需要说明的是,这条命令只是赋予了用户对文件夹本身的读写权限,而不包括子文件夹下的文件。

对普通用户来说,cals.exe 和 xcacls.exe 的作用可能不是那么明显,这在 windows 2000/xp/server 2003 的无人值守安装中特别有用,管理员可以为操作系统所在的文件夹设置初始访问权限;在将软件分发到服务器或工作站时,还可以借助 xcacls.exe 提供单步保护,以防止用户误删除文件夹或文件。

相关文章