Windows：系统对象、身份与服务机制

系统版本、对象、路径与访问权限

Windows 系统管理从对象、身份和路径开始。文件访问受令牌、组与 ACL 共同影响；服务和计划任务使用的账户、登录方式及环境可能与桌面会话不同，排错时应先找出真正执行操作的进程。

操作系统与命令宿主

Windows 平台识别要分别记录系统版本、版本类型、CPU 架构和命令宿主。Windows Terminal 托管窗口，CMD 与 PowerShell 解释不同语法，WSL 内运行的是 Linux 用户空间。首次学习使用已有的终端，课程文件放入普通用户目录；无需启用 Hyper-V、安装模块或进入管理员会话。

只读观察对象

Windows 只读检查可用 whoami 看当前安全身份，用 PowerShell Get-Service 读取服务对象、Get-WinEvent 读取授权可见的事件。读取权限与管理权限不同，某日志不可见不能推断日志不存在。命令文档的显示查询与修改选项必须分清，icacls 不带写选项可查看 ACL，不把 /reset 当查询。

盘符、路径与重解析点

Windows 路径包含盘符和 UNC 等形式，D:folder 是盘符相对路径，D:\folder 才从该盘根开始。PowerShell -LiteralPath 防止把方括号当通配符，但不消除重解析点跳转；junction、符号链接与挂载点都需要单独边界。CMD cd /d D:\work 与 PowerShell Set-Location 不是同一语法。

令牌与 UAC

Windows 身份令牌包含 SID、组与特权。UAC 提升产生不同的权限上下文；管理员组成员的普通窗口仍可能被拒绝。不要用禁用 UAC 或获取整个系统目录所有权来修复单个文件问题。报告示例读取当前可见服务的数量，既不提升也不修改服务。

练习与参考解答

题目：操作者在CMD输入cd /d D:\work后成功切盘；在PowerShell照抄同一行失败。另一个配置记录D:work作为绝对目录。指出两处错误以及两种正确的目录含义。

参考解答：cd /d是CMD的参数约定，不能直接套进PowerShell；PowerShell应使用Set-Location并明确LiteralPath。D:work相对于D盘当前目录，D:\work才从D盘根开始。需要跨宿主传路径时，先选择完整绝对路径，再按相应解释器传为一个参数；不能把CMD成功当作PS语法或路径解析已验证。

核对资料

• Microsoft 中文访问控制
• Microsoft DACL 与 ACE
• Microsoft 服务控制管理器
• Microsoft icacls 中文手册

历史参照：原Windows CMD 目录切换。全文涉及cd、cd /d跨盘与上一级；课程吸收并对照PowerShell LiteralPath和盘符相对路径。

令牌、服务与计划任务机制

先明确Windows 11/Server 2022、PowerShell 7.4 与执行令牌，再对照配套示例理解Get-Service 对象、采集退出码和 Total/Running 字段。

教学版本族：Windows 11 与 Windows Server 2022；PowerShell 7.4 语法；Windows PowerShell 5.1 的编码和模块差异单独核对。核对日期2026-10-17，不称为2026最新版。示例未执行，配置与命令需按目标环境验收。

DACL、继承与有效权限

Windows ACL 判断需看对象 DACL、适用 ACE、继承标志与调用令牌。拒绝和允许不能脱离顺序与匹配对象简单相加；空 DACL 与没有 DACL 的语义也不同。文件内容读写、删除对象和父目录删除子项是不同访问权。共享访问还会受共享权限影响，不能仅靠 NTFS 权限截图下结论。

服务不是普通后台进程

Windows 服务由服务控制管理器管理，可有专用登录账户、启动类型、依赖和恢复策略。服务状态 Running 不保证业务请求成功；进程存在也不能证明已注册为服务。变更应通过服务契约处理停止和依赖，不能直接强杀 PID 或把 Shell 脚本当服务二进制。

事件提供程序与时间窗

Windows 事件日志由提供程序写入，LogName、ProviderName、Id 和时间共同定位事件。同一个 Id 在不同提供程序不一定含义相同。先限定时间窗与日志再筛选，避免无限读取；日志保留和审计策略决定能否找到历史证据。不要把事件全文直接贴到公共问题单，可能包含用户名与路径。

环境与进程快照

Windows 环境变量在进程启动时继承；修改用户 PATH 后已有窗口、服务和计划任务可能仍保留旧环境。机器与用户作用域不同，不能只看注册表就推定进程已更新。32 位与 64 位工具的文件系统视图也可能不同；课程报告明确使用 PowerShell 7.4 主机，不尝试混用 CMD 变量语法。

练习与参考解答

题目：假设仅讨论NTFS本地访问且无额外策略：用户令牌对文件获FILE_READ_DATA允许，但无DELETE，父目录也无FILE_DELETE_CHILD。用户读文件成功后能否删除？若再给父目录删除子项权限，结论如何？

参考解答：第一种不能从读取成功推导删除成功：文件读取权与删除权分开，给定条件没有任一删除通路。第二种父目录具备适用的删除子项权限时，即使文件自身没有DELETE，也可能允许删除该目录项；还应核对适用ACE与其他限制。不能用只读文件内容权限代替保护父目录，也不能把管理员组名当有效授权结果。

核对资料

• Microsoft 中文访问控制
• Microsoft DACL 与 ACE
• Microsoft 服务控制管理器
• Microsoft icacls 中文手册