Windows Server通过FSRM实现文件上传拦截：1. 安装FSRM角色；2. 创建含exebat等扩展名的文件组；3. 配置筛选器应用于NTFS共享路径，启用“阻止文件创建”；4. 需配合IIS/FTP等其他通道的独立限制，并遵循最小权限原则。

windows 文件服务器本身不内置“文件筛选器”功能来直接拦截上传行为，但可通过 windows server 文件服务器资源管理器（fsrm） 实现对上传到共享文件夹的指定格式文件进行阻止、日志记录或通知。这是 windows 原生支持、无需第三方工具的安全控制方式。

---

✅ 启用并配置 FSRM 文件筛选器（适用于 Windows Server 2008 R2 及后续版本）

1. 安装文件服务器资源管理器（FSRM）

以管理员身份运行 PowerShell 或 CMD：

Install-WindowsFeature FS-Resource-Manager

安装完成后，重启管理工具或等待服务自动启动（File Server Resource Manager 服务需运行）。

2. 打开 FSRM 控制台

• 运行 fsrm.msc
• 或通过「服务器管理器」→「文件和存储服务」→「文件服务器资源管理器」

3. 创建文件组（定义要禁止的扩展名）

• 左侧导航：文件管理任务 → 文件组
• 右键 → 创建文件组
• 名称如：Blocked Upload Extensions
• 在「成员」中添加扩展名（每行一个，不带点号）：

  exe
  bat
  cmd
  vbs
  ps1
  msi
  dll
  sh
  php
  asp
  jsp

  ⚠️ 注意：FSRM 筛选基于文件扩展名（不校验内容），且区分大小写（建议统一小写）。若需更严格控制（如绕过 .php5、.phtml），应手动补充常见变体。

4. 创建文件筛选器（应用到目标文件夹）

• 导航至：文件管理任务 → 文件筛选器
• 右键 → 创建文件筛选器
• 设置：
  • 名称：阻止高危上传文件
  • 文件组：选择上一步创建的 Blocked Upload Extensions
  • 应用于：勾选
    • ✅ 在受管文件夹中阻止文件创建（核心选项，上传即拒绝）
    • ✅ 可选：记录事件日志 / 发送邮件通知 / 生成报告
• 位置：点击「添加路径」，选择你要保护的共享文件夹（如 D:SharesUploads）

  ? 关键：该路径必须是 NTFS 格式，且已由 FSRM 管理（右键文件夹 → 「管理此文件夹」可快速纳入）

  

  Pandas 配置文件报告生成器

  使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

  下载

5. 验证效果

• 普通用户尝试通过网络共享（如 \serverUploads）复制 .exe 文件
• 系统将返回错误：

  “操作无法完成，因为文件类型被阻止。”

• 同时可在事件查看器中查看 Applications and Services Logs → File Server Resource Manager → Operational 日志确认拦截记录。

---

? 补充说明：与 IIS/FTP 的协同控制

FSRM 仅作用于 Windows 文件共享（SMB）路径。若用户通过其他通道上传（如 IIS 网站、FTP 服务），需额外配置：

• IIS 上传限制：使用 URLScan（已弃用）或现代替代方案（如 IIS 请求过滤模块）
  → 在 IIS 管理器中：选择站点 →「请求过滤」→「文件扩展名」→ 添加 .exe, .ps1 等并设为「拒绝」

• FTP 服务：需结合 FTP 服务器角色（如 IIS FTP）的「MIME 类型限制」或第三方 FTP 软件策略

---

❌ 常见误区提醒

• FSRM 不影响本地登录后的文件操作（仅限制通过 SMB/共享方式写入）
• 不拦截已存在的文件，只管控新创建/复制/重命名动作
• 若用户有管理员权限，可绕过筛选器（因此务必配合最小权限原则）
• 筛选器不加密、不扫描内容，不能替代防病毒软件

不复杂但容易忽略细节。