Permissões NTFS para pasta pai para tornar subpastas acessíveis

Question

Cenário rápido em um sistema Windows local.

A unidade E: está formatada com o NTFS tem o seguinte layout e permissões:

E:\                  (JohnDoe)
E:\folder            (Administrator)
E:\folder\subfolder  (JohnDoe)

• JohnDoe tem acesso de leitura / gravação ao diretório raiz.
• JohnDoe tem acesso de leitura / gravação subfolder
• JohnDoe NÃO tem acesso a folder
• JohnDoe NÃO tem a capacidade de alterar as permissões.

Como JohnDoe não pode acessar folder e, portanto, não pode listar o conteúdo, ele deve digitar o caminho E:\folder\subfolder manualmente. Não existe uma maneira "clicável" de ir de E:\ a subfolder .

Eis a pergunta: Existe alguma maneira de JohnDoe descobrir a existência e o caminho do subfolder acessível, sem poder listar o conteúdo do seu pai folder ? Suponha que ele não tenha sido informado do nome de subfolder e que as permissões não sejam alteradas em relação ao que foi mencionado acima.

_{Por causa deste problema, ignore a possibilidade de um ataque de força bruta adivinhar o nome de subfolder . Somente métodos de força não bruta são permitidos.}

    

Answer 1

O NTFS não fornece um método para descobrir essas subpastas remotas, assumindo que a pasta intermediária é realmente sem acesso. Para obter essa inteligência, você precisa olhar além do sistema de arquivos, talvez interrogando outros arquivos quanto a caminhos contidos nos doucments, ou quaisquer atalhos que estabeleçam essa referência em tais subdiretórios.

As coisas ficam mais interessantes se JohnDoe tiver acesso elevado à máquina. Nesse ponto, examinar as alças de arquivos abertas pode revelar a presença de diretórios ocultos. Se o diretório for compartilhado, a lista de arquivos abertos para o compartilhamento também revelará sua presença. Esses métodos não funcionariam para usuários "normais".

    

Answer 2

Crie uma junção para subpasta no diretório raiz.

E:\
E:\folder
E:\folder\subfolder
E:\junction-to-subfolder

Use o comando:

MkLink /j "E:\junction-to-subfolder" "E:\folder\subfolder"

Agora, o JohnDoe pode ver e acessar facilmente essa subpasta.

EDIT: Para remover a junção sem afetar o alvo, use:

RD "E:\junction-to-subfolder"

    

Answer 3

Eu usei uma configuração semelhante e parece que os usuários se deparam com o diretório. O problema no seu caso é agora que seria acessado. Se houver um script em lote ou mapeamento de unidade, o usuário provavelmente poderá descobri-lo se tiver experiência. Eu sei que no Windows você pode esconder letras de unidade, mas isso pode não ser suficiente.

Eu sugiro que, se você não quiser que eles acessem, não dê permissão, se possível. Use outra conta para essa tarefa que você está realizando (por exemplo, executando um script em lote para backups ou qualquer outro).

É difícil dar conselhos mais específicos, sem saber mais sobre o que você deseja realizar, sem deixar que o usuário saiba. Pode haver uma maneira diferente.