Bloodhound 工具杂记

0x01 汉化及规则

使用方法：替换相应文件即可

效果

添加了大量自定义规则：

域基本信息

高风险权限

Kerberos 交互

最短攻击路径

自定义查询

Session 相关

已经获取权限的对象

ACL 审计

• 主体汉化

文件路径：BloodHound-win32-x64resourcesappdistbundle.js

• 内置规则及汉化

文件路径: BloodHound-win32-x64resourcesappsrccomponentsSearchContainerTabsPrebuiltQueries.json

• 自定义规则及汉化

文件路径：C:Users[user目录]AppDataRoamingbloodhoundcustomqueries.json

 以上文件地址：
https://github.com/mabangde/Bloodhound_cn   
替换相应文件即可 

0x02 辅助分析工具

 项目地址：https://github.com/mabangde/Bloodhound_data_parse

处理Active Directory中的安全主体（如用户、组、计算机等）的ACL信息，将信息导出CSV方便分析，该工具可与Bloodhound 配合使用，Bloodhound处理大量数据渲染慢

功能：

    acl_audit(object_type='user')  # 审计用户对象acl
    acl_audit(object_type='computer') # 审计计算机对象acl
    acl_audit(object_type='group') #  审计组对象acl
    get_computer_sessions_info()  # 获取所有计算机登录session
    get_domain_users() # 获取域内所有用户
    get_group_members() # 获取所有组下面用户
可用以下采集器采集：
https://github.com/fox-it/BloodHound.py
https://github.com/OPENCYBER-FR/RustHound
ADExplorer.exe + ADExplorerSnapshot.py
SharpHound
文件放置：
files 目录

输出结果：




output目录

   效果：


(以上图片数据均为伪造数据)


0x03 名词说明


First Degree Group Memberships（一级组成员关系）：指直接加入某个组的用户或计算机账户。


Unrolled Group Membership（展开的组成员关系）：指在组成员中，展开所有直接和间接的成员关系，便于发现更多的权限和访问路径。


Foreign Group Membership（外部组成员身份）：指在域环境中，属于其他域或外部系统的组成员身份。例如，如果某个组包含了其他域中的用户或计算机账户，则这些用户或计算机账户就属于该组的外部成员。


First Degree Local Admin（一级本地管理员）：指在计算机中直接拥有本地管理员权限的用户或组。


Group Delegated Local Admin Rights（委派组的本地管理员权限）：指在计算机中，通过组策略对象（GPO）或其他方式委派给指定组的本地管理员权限。


Derivative Local Admin Rights（派生本地管理员权限）：指在计算机中，通过其他方式获取本地管理员权限的用户或组，例如从另一个本地管理员账户继承权限、获取某个服务的管理员权限等。


First Degree Group Membership（一级组成员）：指直接加入某个组的用户或计算机账户。


Unrolled Member Of（展开的成员关系）：指在组成员中，展开所有直接和间接的成员关系，便于发现更多的权限和访问路径。


Foreign Group Membership（外部组成员）：指在域环境中，属于其他域或外部系统的组成员身份。


Direct Members（直接成员）：指在组成员中，直接加入该组的用户或计算机账户。


Unrolled Members（展开的成员）：指在组成员中，展开所有直接和间接的成员关系，包括所有子组和外部组成员。


Foreign Members（外部成员）：指在域环境中，属于其他域或外部系统的用户或计算机账户。


First Degree RDP Privileges（一级远程桌面特权）：指在域环境中，直接拥有可以通过远程桌面协议（RDP）进行远程控制权限的用户或计算机。


Group Delegated RDP Privileges（委派组的远程桌面特权）：指在域环境中，通过组策略对象（GPO）或其他方式委派给指定组的远程桌面特权。


First Degree DCOM Privileges（一级DCOM特权）：指在域环境中，直接拥有可以通过分布式组件对象模型（DCOM）进行本地或远程权限提升的用户或计算机。


Group Delegated DCOM Privileges（委派组的DCOM特权）：指在域环境中，通过GPO或其他方式委派给指定组的DCOM特权。


SQL Admin Rights（SQL管理员权限）：指在计算机中拥有对SQL Server进行管理的权限，包括创建、删除、修改数据库、备份和还原数据等。


Constrained Delegation Privileges（受限委派特权）：指在域环境中，通过委派方式授予的仅可用于指定目标计算机的受限委派特权，可以在不泄露凭据的情况下，以当前用户的身份访问目标计算机。这是一种安全的权限管理方式，可以避免攻击者滥用委派特权导致的安全问题。


Sessions（会话）：指在计算机网络中，建立起连接并进行通信的两个程序之间的运行实例。在域环境中，用户可以通过建立会话与域进行交互，例如登录、访问资源等。


Sibling Objects in the Same OU（同一OU中的同级对象）：指在域环境中，同一组织单位（OU）中的同级对象，它们在同一层级并具有相同的父级OU。


Reachable High Value Targets（可达高价值目标）：指在域环境中，可以通过当前已知的权限路径到达的高价值目标，例如域管理员、企业管理员等。


Effective Inbound GPOs（有效的入站GPO）：指在域环境中，对指定计算机或用户具有有效入站网络访问控制的组策略对象（GPO）。


See user within Domain/OU Tree（在域/OU树中查看用户）：指在BloodHound工具中，通过查询域或OU树来查找指定用户及其权限路径的功能。该功能可以帮助安全人员了解当前域中的权限情况，并帮助找到潜在的攻击路径。


First Degree Object Control（一级对象控制）：指对一个对象（如文件、文件夹、数据库等）的直接控制，即可以对该对象进行修改、删除、共享等操作的权限控制。


Group Delegated Object Control（组委派对象控制）：指通过将权限授予某个用户组来管理对象访问权限的方式。用户组成员可以继承该组的权限，并且可以通过添加或删除组成员来管理对象的访问权限。


Transitive Object Control（传递性对象控制）：指当一个对象控制了另一个对象的访问权限时，它也会控制那个对象所控制的所有对象的访问权限。例如，如果用户拥有对文件夹的完全控制权，则他也将具有对该文件夹中的所有文件和子文件夹的完全控制权。


Explicit Object Controllers（显式对象控制器）：指控制对象访问权限的明确指定的用户或用户组。这些用户或用户组的权限通常在对象的安全描述符中明确列出。


Unrolled Object Controllers（未展开的对象控制器）：指未将所有显式控制对象列在安全描述符中的控制对象。这些对象可能是由于传递性控制而得到的控制权，也可能是由于权限继承而得到的控制权。


Transitive Object Controllers（传递性对象控制器）：指通过传递性控制方式获得访问权限的对象控制器。例如，如果用户A控制了文件夹的访问权限，而文件夹又控制了文件的访问权限，那么用户A也就成为了这些文件的控制器。这种控制方式可能会导致访问权限的泄漏或不当使用。
0x03 常见权限说明：



WriteAccountRestrictions：允许用户更改帐户约束，包括密码长度、复杂性、帐户锁定策略等。


Owns：允许用户拥有对象的所有权。


AllExtendedRights：允许用户执行所有特殊任务的权限。


GenericAll：允许用户对指定对象执行任何操作的完全权限。


WriteMembers：允许用户更改组成员身份的权限。


ResetPassword：允许用户重置用户帐户密码的权限。


Self(Self-Membership)：自成员，这个是能够将自己添加到组的另一项特权


GenericWrite：允许用户对指定对象执行大多数操作的权限。


WriteProperty：允许用户更改指定对象的属性的权限。


WriteOwner：允许用户更改对象所有者的权限。


WriteDacl：允许用户更改对象访问控制列表（DACL）的权限，该列表确定哪些用户或组对对象具有访问权限。


GetChangesInFilteredSet：允许用户检索符合过滤条件的目录服务对象更改。


GetChanges：允许用户检索目录服务中的更改。


GetChangesAll：允许用户检索所有目录服务对象的更改。


          

参考文章：
https://hausec.com/2019/09/09/bloodhound-cypher-cheatsheet/
          



原文始发于微信公众号（中国白客联盟）：Bloodhound 工具杂记