Разрешения NTFS для родительской папки, чтобы сделать подпапки доступными

Question

Быстрый сценарий в локальной системе Windows.

Диск E: отформатирован с NTFS, имеет следующую схему и разрешения:

E:\                  (JohnDoe)
E:\folder            (Administrator)
E:\folder\subfolder  (JohnDoe)

• JohnDoe имеет доступ на чтение / запись к корневому каталогу.
• JohnDoe чтение / запись subfolder доступа
• JohnDoe не имеет доступа к folder
• JohnDoe НЕ имеет возможности изменять разрешения.

Поскольку JohnDoe не может получить доступ к folder и, следовательно, не может перечислить содержимое, он должен ввести путь E:\folder\subfolder вручную. Не существует "кликабельного" способа перехода из E:\ в subfolder .

Вот вопрос: может ли JohnDoe каким-либо образом обнаружить существование и путь к доступной subfolder , не имея возможности перечислить содержимое своей родительской folder?Предположим, что ему не сказали имя subfolder и что права доступа не изменились по сравнению с тем, что указано выше.

_{Ради этой проблемы, игнорируйте возможность грубой атаки угадать имя subfolder . Разрешены только методы без грубой силы.}

Answer 1

NTFS не предоставляет метод для обнаружения таких удаленных подпапок внутри себя, предполагая, что промежуточная папка действительно не имеет доступа. Чтобы получить такой интеллект, вы должны смотреть не только на файловую систему, возможно, опрашивая другие файлы на предмет путей, содержащихся в документах, или любых ярлыков, которые ссылаются на такие подкаталоги.

Все становится интереснее, если у JohnDoe повышен доступ к машине. В этот момент проверка открытых файловых дескрипторов может выявить наличие скрытых каталогов. Если каталог открыт для общего доступа, список открытых файлов для общего ресурса также показывает их наличие. Эти методы не будут работать для «обычных» пользователей.

Answer 2

Создайте соединение для подпапки в корневом каталоге.

E:\
E:\folder
E:\folder\subfolder
E:\junction-to-subfolder

Используйте команду:

MkLink /j "E:\junction-to-subfolder" "E:\folder\subfolder"

Теперь JohnDoe может легко увидеть и получить доступ к этой подпапке.

РЕДАКТИРОВАТЬ: Чтобы удалить соединение без воздействия на цель, используйте:

RD "E:\junction-to-subfolder"

Answer 3

Я использовал аналогичную настройку, и кажется, что пользователи могут наткнуться на каталог. Проблема в вашем случае в том, что теперь к ней будут обращаться. Если будет пакетный сценарий или сопоставление дисков, то пользователь, вероятно, сможет обнаружить его, если будет подкован. Я знаю, что в Windows вы можете скрывать буквы дисков, но этого может быть недостаточно.

Я хотел бы предложить, если вы не хотите, чтобы они получили к нему доступ, не давайте им разрешение, если это возможно. Используйте другую учетную запись для той задачи, которую вы выполняете (например, запускаете пакетный скрипт для резервного копирования или чего-то еще)

Трудно дать более конкретный совет, не зная больше о том, чего вы хотите достичь, не сообщая об этом пользователю. Там может быть по-другому.