<高分>如何利用NTFS权限来使某个文件可以运行，但无法被删除、重命名、更改

[drifter250771]

我的电脑里只有一个用户，目前需要将一个EXE文件设置成能运行，但无法被删除、重命名、更改。
这个程序的名字叫C:\Windows\System32\userinit.exe，最近有很多病毒会去修改它达到开机下载病毒的目的。
我这么做的目的是为了防止病毒破坏。

echo Y|cacls C:\Windows\System32\userinit.exe /P Administrators:R

下面是问题：
1、如上设置后，该文件还是可以被删除，请问为什么？这是我最疑惑的地方。非Windows文件保护机制的原因，以下相同。
2、先用attrib给这个EXE文件加上R属性后，然后再作如上cacls设置，该EXE文件才不能被删除，但此时还是可以重命名，那么，究竟怎么做才能实现我的目的呢？
3、如果我还希望实现Administrators不能修改此EXE文件的NTFS权限，那需要怎么做呢？更改此EXE文件的所有权为别人还是不行、在NTFS权限中加入“Administrator 更改权限 拒绝”还是不行。

100分，希望能到详细的解答。

[ltzhh]

支持!

[戈壁上的月光]

D 原来ＮＴＦＳ还有这功能，长见识了

[pstdouble]

回楼主: 基本上你的要求是不可达成的. 因为这个文件,当你修改过后(包括权限,文件名等),系统会自动生成一个和原有文件一模一样(包括权限)的文件....所以无论怎么设置,都是不可行的....

[drifter250771]

to 三楼：
我在顶楼已经说过“Windows文件保护机制”的原因，我新建一个别的文件也试过，结果相同

[drifter250771]

我的问题3解决了，上次是我实验失误了。
一用户不具有一文件的“更改权限”这个权限、并且该用户不是该文件的所有者时，此时确实才是无法更改该文件的权限的。

[drifter250771]

跟单用户有什么关系？我随便给个，如users、system。

谁来解释问题1、2呢？

[d93145820]

是的,只要不是文件的所有者,只给他读取和运行权限就可以了,双用户实现比较方便,你的单用户,真不知道把所有权给谁

[xiangfeidecainiao]

你把C:\Windows\System32\文件夹 共享和安全设置权
添加一个组 只给组 读取和运行的权限 ,其他权限全部删除
把你要限制的用户加到组中 就好了

[drifter250771]

我是针对一个文件，针对一个用户，让它只有读取运行权限，
楼上的是针对一个文件夹，该文件在该文件夹内；针对一个组，并且该用户在该组内，让这个组对这个文件夹只能读取运行权限。

这两种做法，在该用户对该文件拥有权限的最终计算结果上，有区别吗？
system32这个文件夹的权限我可不敢去修改，另外system32文件夹下有好多文件的权限可不是继承上级目录的。

[drifter250771]

为什么我给帖子加分总是提示：无权使用此功能