mcpField
E
exploiting-active-directory-with-bloodhound

exploiting-active-directory-with-bloodhound

github.com/mukul975安全35.2k108 次安装8 周前更新
代码仓库

关于 exploiting-active-directory-with-bloodhound

面向授权安全测试人员的 Active Directory 侦察与攻击路径分析技能，结合 SharpHound 数据采集和 BloodHound 图分析。它帮助从已控制账户追踪至高权限目标，并记录 ACL、组成员关系和委派配置带来的路径。

主要功能

  1. 01使用 SharpHound 收集 AD 数据
  2. 02可视化账户至高权限目标的路径
  3. 03发现 ACL 与组配置问题
  4. 04分析 Kerberos 委派设置
  5. 05规划并记录提权路径

适用场景

  1. 01在授权渗透测试中梳理攻击路径
  2. 02从已控制账户寻找域管理员路径
  3. 03检查 ACL 和组策略相关风险
  4. 04记录 Active Directory 权限链

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill exploiting-active-directory-with-bloodhound

安装后在 Claude Code 中输入/exploiting-active-directory-with-bloodhound确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

使用 BloodHound 利用 Active Directory

法律声明： 本技能仅用于授权的安全测试和教育目的。未经授权对您不拥有或未获得书面许可测试的系统进行使用是违法的，并可能违反计算机欺诈相关法律。

概述

BloodHound 是一款基于图的 Active Directory 侦察工具，它利用图论揭示 AD 环境中隐藏的和非预期的关系。红队使用 BloodHound 识别从已攻陷账户到高价值目标（如 Domain Admins）的攻击路径，发现几乎不可能通过手动方式找到的权限提升链。SharpHound 是官方数据收集器，用于收集 AD 对象、关系、ACL、会话和组成员身份。

何时使用

  • 在执行涉及使用 bloodhound 利用 active directory 的授权安全测试时
  • 在受控环境中分析恶意软件样本或攻击痕迹时
  • 在开展红队演练或渗透测试项目时
  • 在基于攻击技术理解构建检测能力时

前提条件

  • 熟悉红队概念和工具
  • 拥有用于安全执行的测试或实验环境
  • 安装 Python 3.8+ 及所需依赖项
  • 对所有测试活动拥有适当授权

目标

  • 使用 SharpHound 或 BloodHound.py 收集 Active Directory 关系数据
  • 可视化从已攻陷账户到 Domain Admin 的攻击路径
  • 识别配置错误的 ACL、组成员身份和委派设置
  • 发现通往高价值目标的最短攻击路径
  • 梳理可用于滥用的 Kerberos 委派配置
  • 记录所有已识别的权限提升链

MITRE ATT&CK 映射

  • T1087.002 - 账户发现：域账户
  • T1069.002 - 权限组发现：域组
  • T1482 - 域信任发现
  • T1615 - 组策略发现
  • T1018 - 远程系统发现
  • T1033 - 系统所有者/用户发现
  • T1016 - 系统网络配置发现

工作流

阶段 1：使用 SharpHound 进行数据收集
  1. 将 SharpHound 收集器传输到已攻陷主机
  2. 使用适当的方法执行收集（All、DCOnly、Session、LoggedOn）
  3. 如果是多域环境，从所有可达域收集
  4. 将 ZIP 数据文件外泄到分析工作站
  5. 将数据导入 BloodHound CE 或 Legacy
阶段 2：攻击路径分析
  1. 标记已拥有的主体（已攻陷账户）
  2. 查询通往 Domain Admins 的最短路径
  3. 识别具有管理员权限的 Kerberoastable 账户
  4. 查找可进行 AS-REP Roasting 的账户
  5. 分析基于 ACL 的攻击路径（GenericAll、GenericWrite、WriteDACL、ForceChangePassword）
  6. 审查 GPO 滥用机会
阶段 3：利用规划
  1. 按复杂度和隐蔽性对攻击路径进行优先级排序
  2. 确定链条中每一步所需的工具
  3. 为每种技术规划 OPSEC 考量
  4. 执行已识别的攻击链
  5. 记录每一步的证据

工具和资源

工具用途平台
BloodHound CE图可视化与分析基于 Web
SharpHoundAD 数据收集（.NET）Windows
BloodHound.pyAD 数据收集（Python）Linux/Windows
Cypher 查询自定义图查询Neo4j/BloodHound
PlumHound自动化 BloodHound 报告Python
Max (BloodHound)BloodHound 自动化Python

关键 BloodHound 查询

查询用途
到域管理员的快捷路径找到通向 DA 的最快路径
查找可 Kerberoast 且能通向 DA 的用户可通向 DA 的 SPN 账户
查找可进行 AS-REP Roasting 的用户未启用预认证的账户
从已控制主体出发的快捷路径从已失陷账户出发的路径
查找使用不受支持操作系统的计算机可用于利用的遗留系统
查找具有 DCSync 权限的用户能够复制 AD 的账户
查找修改本地组成员身份的 GPO基于 GPO 的权限提升

验证标准

  • 已从所有域收集 SharpHound 数据
  • 已识别从已控制账户到 DA 的攻击路径
  • 已记录基于 ACL 的攻击路径
  • 已识别可 Kerberoast 和可进行 AS-REP Roasting 的账户
  • 已创建包含优先路径的利用计划
  • 已为报告捕获证据截图

评论

支持 Markdown