启用ABE是隐藏敏感共享目录的核心方法，需同时满足：共享启用ABE、NTFS权限精确配置（禁用继承并清理Everyone）、客户端通过SMB访问；叠加$后缀和关闭网络发现可增强防护。
在windows局域网中，隐藏特定敏感共享目录的核心方法是启用“基于访问权限的枚举”（access-based enumeration，abe），它不是简单地让文件夹“看不见”，而是让无权限用户根本看不到该共享目录的存在——包括在网络邻居、地址栏自动补全、甚至powershell的get-smbshare结果中均不显示。这比仅加“$”后缀的隐藏共享更安全、更智能。
启用基于访问权限的枚举（ABE）
ABE依赖NTFS权限与共享权限协同生效，只对NTFS格式的卷有效，且要求共享位于启用了ABE的服务器上（Windows Server 2003 SP1+ 或 Windows 10/11 Pro/Enterprise 的SMB服务器角色）。
- 右键点击要保护的共享文件夹 → “属性” → “共享”选项卡 → 点击“高级共享” → 勾选“共享此文件夹”，设置共享名（无需加$）→ 点击“权限”，移除或限制“Everyone”等宽泛组的访问权，仅保留明确授权的用户或组
- 切换到“安全”选项卡 → 点击“编辑” → 为每个用户/组精确配置NTFS权限（如对敏感子文件夹设为“拒绝读取”或仅“列出文件夹内容+读取”）→ 确保权限不继承自上级，或已清除冲突继承项
- 打开“组策略编辑器”（
gpedit.msc）→ 导航至：计算机配置 → 管理模板 → 网络 → Lanman 工作站 → 启用“启用基于访问权限的枚举” → 设为“已启用” - 若使用Windows Server，还可直接在“服务器管理器→文件和存储服务→共享”中，右键共享 → “属性” → “高级” → 勾选“启用基于访问权限的枚举”
配合隐藏共享名（$后缀）作为辅助层
ABE是逻辑级隐藏，而“$”后缀是协议级隐藏——两者叠加可形成双重防护。即使有人扫描SMB共享列表，也看不到带$的条目；即便猜中名称尝试访问，ABE仍会拦截无权限者的可见性。
- 在“高级共享”中设置共享名时，末尾添加
$（如FinanceData$） - 客户端访问必须显式输入完整路径：
\SERVERNAMEFinanceData$或\192.168.1.100FinanceData$ - 注意：仅加$不设ABE，有经验的用户仍可通过
net view \SERVERNAME或工具探测到该共享；仅设ABE不加$，共享名仍可能出现在网络发现中（取决于网络发现服务状态）
关闭网络发现与公用文件夹共享
减少暴露面，防止敏感共享被意外纳入浏览范围。
- 控制面板 → 网络和Internet → 网络和共享中心 → 左侧“更改高级共享设置”
- 在当前配置文件（如“专用”）下：关闭“网络发现”、关闭“文件和打印机共享”（除非必需）、关闭“公用文件夹共享”
- 确保“密码保护的共享”设为“启用”，强制凭据验证
验证与日常维护要点
隐藏效果需从无权限账户视角验证，而非管理员本地测试。
- 新建一个标准用户账户（无管理员权限），登录后打开“网络”或运行
net view \SERVERNAME，确认目标共享不出现 - 尝试访问
\SERVERNAMESharedName（不带$）应提示“找不到网络路径”；访问\SERVERNAMESharedName$且无权限时，应提示“拒绝访问”，而非“找不到” - 定期检查NTFS权限继承是否被意外启用，避免子文件夹权限失控
- 敏感数据建议额外启用EFS加密，防范物理访问或离线破解风险
