各位看官，老铁们，大伙儿好呀！我是那个天天在安全群里喊“狼来了”的蓝队小卒，今天咱们不聊虚的，就聊聊那个让我又爱又恨的破事儿——怎么提权服蓝队防守，说实话，每次看到红队兄弟发来“提权成功”的截图，我这心里就咯噔一下，跟吃了苍蝇似的难受，但你别笑，咱们今天就要把这口“苍蝇”咽下去，再给它吐成一颗“子弹”打回去！
咱得搞清楚红队那帮“猴精”是怎么提权的。 说白了，就跟小偷撬锁一样，先是翻墙（打点），再是撬锁（漏洞利用），最后进了屋还想开保险柜（提权），你要是蓝队，光知道“啊，我们被提权了”有什么用？你得知道他们是从窗户进来的，还是从烟囱爬进来的！对吧？
说到这“怎么提权服”啊，我真心觉得咱蓝队兄弟有时候太“老实”了。 防守不是死守，那叫“被动挨打”，咱得学会“扮猪吃老虎”，红队常见的手段是掉个钓鱼邮件，搞个弱口令爆破，然后拿到个低权限shell，哎呀，这时候你要是条件反射地直接封IP、杀进程，那可就太“耿直”啦！咱们得“陪他玩玩”，给他一个看似“可口”的蜜罐服务，让他在里面折腾半天，以为马上要“提权”成功了，结果一转头发现，哟，这数据全是假的，这系统是虚拟的，连“根目录”都是咱们画出来的“纸老虎”！这感觉，是不是比直接踢他出去爽多了？嘿嘿，这就叫“将计就计”，也是提权服（诱惑提权服务） 的精髓所在。
但是啊！咱也不能光靠“演”。 红队那帮人精，吃一堑长一智，你要真把系统裸奔着放那儿，那不叫蜜罐，那叫“肉包子打狗”，真正的蓝队防守，得把“怎么提权”这词儿反过来用，咱们得先把自己想象成红队，去攻击自己的系统，找出“如果我是红队，我会怎么提权”的路径，咱们要在关键路径上部署“地雷”，
- 权限告警要“炸毛”：别光记录日志，咱得设定异常行为基线，凡是发现有向关键注册表、服务、计划任务写入的异常行为，哪怕时CPU占用率了波动一下，立马告警声响起,像你家猫看见黄瓜一样跳起来！
- 提权路径要“掐断”：红队提权往往靠的是内核漏洞、烂土豆（Potato）那套，咱们就得勤打补丁，加固配置，尤其是那个该死的SeDebugPrivilege和SeImpersonatePrivilege权限，该删的删，该禁的禁，别给他们留一点儿“后门快感”。
- 隔离和分段要“狼狠”：别让一台机器打通全网络，就算红队费劲千辛万苦撕开了一个口子，发现只能控制个破打印机或者一个只跑着“扫雷”游戏的终端，他那个“提权”的劲儿立马泄掉一半！哈哈哈,想想都觉得好笑。
我得掏心窝子说一句， “怎么提权”这个问题，蓝队不是要彻底消灭它，而是要让红队“提权”的代价远大于收益，咱不能保证不破，但要保证破了之后他们走不出去，或者走出去也是咱给画好的“迷宫”，这种掌控感，才是蓝队防守的高级浪漫。
唉，咱说实话，做蓝队这行，头发比代码都掉得快，每次攻防演练前，我都得把自家系统当成仇人来打一遍，有时候真想撂挑子，但转头一看红队那帮小子又在群里炫耀战果，我这倔脾气就上来了！行吧，不来点真格的,还以为咱蓝队是吃素的呢！
如果屏目前的你，也想学点这种“蔫坏”的防守套路，或者对红队提权那点小九九感兴趣，想找个人一起研究怎么“反提权”，那咱可以私下交流交流，毕竟,独乐乐不如众乐乐嘛！
对了，差点忘了正事儿！ 如果你也想加入咱们这个“互坑”又“互助”的网络安全大家庭，想学习更多干货（不是那种啃书本的哈），可以加QQ：3361984509（备注“蓝队防守”哦，不然可能不通过，你懂的！），咱们群里不仅有搞防守的，还有好几个天天琢磨着怎么“攻破”你的“红队大哥”呢，哈哈，那气氛,绝了！
行了，今天就唠到这儿，我得去盯我的服务器日志了，生怕一个不留神，那帮“红队”又给我搞出个“提权”大新闻！咱们下回见！拜拜嘞您内！
