Windows共享权限配置不当易引发内网渗透与数据泄露，核心在于NTFS与共享权限交集生效、默认管理共享未禁用、SMBv1未关闭、账户策略薄弱及缺乏审计监控。
windows共享访问权限若配置不当，极易成为内网横向移动、数据泄露甚至勒索软件传播的入口。风险不只来自“everyone完全控制”这种明显错误，更常隐匿于ntfs与共享权限的叠加逻辑混乱、默认共享未关闭、smb协议版本过旧等细节中。
共享权限与NTFS权限的叠加逻辑必须理清
用户通过网络访问共享时，系统会同时校验两层权限：先看共享权限（网络入口），再查NTFS权限（磁盘级控制），最终生效的是二者交集。这意味着：
- 共享权限设为“读取”，NTFS设为“完全控制”，用户只能读取——共享权限成了瓶颈
- 共享权限设为“完全控制”，NTFS误配了“写入”给非授权组，用户就可能越权修改文件——NTFS成了漏洞点
- 最稳妥做法是：共享权限按最小必要原则设置（如仅“读取”或“更改”），NTFS再做精细化控制，避免任一层过度宽松
必须关闭默认共享和高危SMB配置
Windows服务器默认启用的C$、D$、ADMIN$、IPC$等管理共享，是攻击者常用跳板。它们不会在资源管理器中显示，但可通过命令直接访问：
- 立即禁用：运行
net share C$ /delete等命令逐个删除；再通过注册表永久关闭：reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" /v AutoShareServer /t REG_DWORD /d 0 /f - 强制禁用SMBv1：该协议存在MS17-010等致命漏洞，执行：
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force - 检查当前状态：
Get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol
账户与组策略层面的协同加固
权限最终落地到人，账户体系不牢，权限再细也形同虚设：
- 禁用Guest账户：
net user Guest /active:no - 重命名Administrator账户（避免使用admin、root等常见名）：
wmic useraccount where "name='Administrator'" call rename "SysAdm_2026" - 启用账户锁定策略：5次失败登录即锁15分钟，防止暴力破解
net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:10 - 所有业务共享访问应基于域安全组（如Domain_Finance_RW），而非直接赋权给用户或Everyone
定期审计与日志监控不可替代
静态配置会随时间失效，动态监控才能发现异常行为：
- 启用对象访问审核：在组策略中开启“审核对象访问”，并为关键共享文件夹启用“成功+失败”审核
- 检查共享列表：
net share确认无意外共享；Get-SmbShare核对权限字段 - 审查安全日志（eventvwr.msc → 安全日志）：重点关注事件ID 4662（对象访问）、5145（网络共享访问）
- 每季度运行
systeminfo确认补丁已更新，尤其关注SMB相关CVE修复情况
