确定谁在 Win XP (NTFS) 中创建了文件

Question

有没有办法确定哪个用户在使用 NTFS 的 Win XP 上创建了文件？

Answer 1

NTFS 上的所有文件都有一个“所有者”，显示在

• 资源管理器“详细”视图中的所有者列（必须手动添加；右键单击标题）
• 属性 - 安全 - 高级 - 所有权（在 XP Professional 中）
• dir/q 在命令提示符下

在 Windows NT（从 NT 3.1 开始，包括 XP、2003、Vista、7 和未来版本）上，所有新创建的对象都归其创建者所有。

这不仅限于文件：几乎所有东西都可以附加 ACL。示例：命名管道、注册表项、进程、服务、桌面、设备、互斥锁...

• 除非其他人取得所有权。（管理员可以通过使用SeTakeOwnership特权来做到这一点；如果对象的 ACL 允许，非管理员可以取得所有权。）

• 在Windows NT 的服务器版本上，管理员可以将对象所有权分配给另一个用户。消费者版本（例如 Windows XP 或 7）只允许您拥有所有权。

• 在Windows 2000 及更早版本中，如果创建者是 Administrators 组的成员，则他创建的对象将归管理员所有，而不是用户。这在 Windows XP 中发生了变化，用户将始终拥有他创建的对象。

对于大多数对象类型，您甚至可以启用审计，这会导致对对象的所有操作都记录到安全日志中。（您可以选择要记录哪些操作。）

对于文件，这可以在Properties - Security - Advanced - Auditing 中完成。使用事件查看器 ( eventvwr.exe) 查看日志条目。