BloodHound

BloodHound 是一种将 Active Directory 中的关系映射为图的工具。它可以揭示从低权限用户通往域管理员等高价值目标的隐藏攻击路径。

对于复杂的权限关系，人类容易遗漏的内容，BloodHound 可以通过图论找出来。

BloodHound 将 AD 建模为由边（关系）连接的节点（用户、组、计算机、OU、GPO）。

边表示各种权限，例如 MemberOf、AdminTo、HasSession 或 GenericAll。一串边就构成一条攻击路径。

SharpHound 是数据收集器。在加入域的环境中运行时，它会查询 LDAP 和其他来源，以收集对象、组成员关系、会话和 ACL。

它会输出 JSON（压缩格式），然后您可以将其导入 BloodHound 界面。

SharpHound 通过 -c 支持多种收集方法：

• Group：组成员关系。
• Session：用户登录在哪些位置。
• ACL：对象权限。
• All：全部内容（噪声更大，但更完整）。

高声量的收集可能会被检测到，因此攻击者可能会分批进行或限制范围。

如果您无法在 Windows 上运行 SharpHound，bloodhound-python 可以使用域凭据通过 LDAP 远程收集数据。

在假设已遭入侵的测试中，从 Linux 攻击主机执行此操作非常理想。

BloodHound 使用 Neo4j 图数据库作为后端。您需要启动 Neo4j，登录 BloodHound GUI，然后将收集到的压缩文件拖入界面进行导入。

导入后，您可以运行预构建查询，或使用 Cypher 编写自己的查询。

BloodHound 自带功能强大的预设查询，例如：

• 到域管理员的最短路径。
• 查找拥有 DCSync 权限的主体。
• 可进行 Kerberoasting 的账户。

将当前用户标记为“已控制”，BloodHound 就可以从您控制的对象开始计算路径。

一条攻击路径可能是：您的用户属于某个组，该组对另一个用户拥有 GenericAll，而该用户可以管理一台服务器，并且某个域管理员在该服务器上有会话。

每条边都会告诉您下一跳所需的确切技术，将图转化为分步骤的行动计划。

最常被滥用的边中，有一些表示基于 ACL 的权限：

• GenericAll / GenericWrite：对对象拥有完全或广泛的写入权限。
• WriteDacl / WriteOwner：接管对象的权限。
• ForceChangePassword：重置目标的密码。

这些权限让您无需破解哈希就能提升权限。

要进行自定义分析，您可以编写 Cypher，即 Neo4j 的查询语言。这样，您就可以查找内置查询未涵盖的特定条件。

例如，查找所有能够通往敏感服务器的用户。

BloodHound 不只是攻击者的工具。防御者可以运行它来审计自己的 AD，查找非预期的攻击路径，并在对手利用危险权限之前将其清除。

收紧 ACL、移除过时的管理员权限并限制会话暴露，都可以缩小攻击者能够遍历的图。

现在，您已经了解 BloodHound：

• 它将 AD 建模为由节点和关系边组成的图。
• SharpHound（或 bloodhound-python）会将数据收集到由 Neo4j 支持的 GUI 中。
• 预构建查询和 Cypher 查询可以揭示通往域管理员的最短路径。
• GenericAll 和 WriteDacl 等 ACL 边可以在无需破解的情况下实现权限提升。

您已经完成 Active Directory 攻击课程。