c3c/adexplorersnapshotيقوم بتحليل لقطات AD Explorer وتحويلها إلى صيغ JSON أو NDJSON المتوافقة مع BloodHound لاستكشاف Active Directory ورسم خرائط مسارات الهجوم.
ADExplorerSnapshot.py هو محلل لقطات AD Explorer. صُنع كأداة إدخال لـ BloodHound عبر BOFHound، كما يدعم تفريغ الكائنات الكاملة إلى NDJSON.
يتيح لك AD Explorer الاتصال بوحدة تحكم مجال وتصفح بيانات LDAP. كما يمكنه إنشاء لقطات للخادم الذي أنت متصل به حاليًا. تتيح لك هذه الأداة تحويل تلك اللقطات إلى تنسيق BOFHound أو ملفات JSON متوافقة مع BloodHound، أو تفريغ جميع الكائنات المتاحة في اللقطة إلى NDJSON لسهولة المعالجة.
في وضع إخراج BOFHound، يتم تحليل جميع السمات لكل كائن وإخراجها بتنسيق BOFHound (مشابه لـ LDIF). يمكن بعد ذلك تحليل هذا التنسيق باستخدام BOFHound:
في وضع Objects، يتم تحليل جميع السمات لكل كائن وإخراجها بتنسيق NDJSON.
في وضع BloodHound (مُهمَّل لصالح تحويل BOFHound الأكثر اكتمالاً):
تحتوي لقطات AD Explorer فقط على المعلومات التي يمكن استرجاعها من خادم LDAP. وهذا يعني أن ميزات مثل جمع الجلسات و localadmin غير متوفرة لأن هذه الأداة لن تتفاعل مع الأنظمة على الشبكة. سيكون لديك فقط البيانات المتاحة من LDAP/وحدة التحكم التي أجريت اللقطة ضدها.
في وضع BOFHound، يتم تحويل جميع البيانات إلى تنسيق BOFHound، وهو النهج الأكثر اكتمالاً في الجمع.
في وضع BloodHound، تعالج أداة الإدخال جميع البيانات الممكنة من اللقطة (بما في ذلك ACLs)، ولكنها ستخرج فقط بيانات JSON التي يمكن تفسيرها بواسطة BloodHound. مجموعة GPO/OU مفقودة.
تحتوي مجموعة الثقات على العرض المرئي كما هو ظاهر من وحدة تحكم مجال LDAP التي تتصل بها.
يدعم ADExplorerSnapshot.py Python 3.12+. تتم إدارة التبعيات عبر pip.
يمكنك تشغيل الأداة مباشرة باستخدام uvx (إذا كانت مفقودة: pip install uvx).
uvx git+https://github.com/c3c/ADExplorerSnapshot
usage: ADExplorerSnapshot.py [-h] [-o OUTPUT] [-m {BOFHound,BloodHound,Objects}] snapshot
AD Explorer snapshot ingestor for BloodHound
positional arguments:
snapshot Path to the snapshot .dat file.
options:
-h, --help show this help message and exit
-o, --output OUTPUT Path to the *.json output folder. Folder will be created if it doesn't exist. Defaults to the current directory.
-m, --mode {BOFHound,BloodHound,Objects}
The output mode to use. Defaults to BOFHound output mode, which can then be used with BOFHound. Can also directly output to BloodHound JSON output files (with limitations). In Objects
mode all objects with all attributes are outputted to NDJSON.
وضع إخراج BOFHound هو وضع الإخراج المفضل. يمكنك بعد ذلك استخدام أداة BOFHound لإدخال البيانات إلى BloodHound.
الاستدعاء النموذجي:
uvx git+https://github.com/c3c/ADExplorerSnapshot -m BOFHound snapshot.dat
uvx bofhound -i ./dc.server.com_1234567890_bofhound.log -o output
يمكن استيراد قوالب الشهادات بتنسيق BloodHound أو تنسيق BloodHound-ly4k.
إذا كنت تستخدم إصدار BloodHound العادي، يجب استيراد ملف cert_bh JSON فقط (التي تستورد ككائنات نهج مجموعة).
إذا كنت تستخدم فرع ly4k، يجب استيراد ملفات cert_ly4k بدلاً من ذلك. سيتم حذف بعض المعلومات (على سبيل المثال، بالنسبة لـ ESC8 ما إذا كان التسجيل عبر الويب ممكّناً) لأنه لا يمكن جمعها باستخدام AD Explorer.
إنشاء اللقطات في AD Explorer يستهلك طاقة شبكة أكبر مقارنة بأدوات إدخال BloodHound التقليدية لأنه يحاول استرداد جميع الكائنات الممكنة من LDAP.
سينشئ ADExplorerSnapshot.py ذاكرات تخزين مؤقتة للمعلومات لإجراء عمليات بحث أسرع أثناء معالجة البيانات. خاصة عند معالجة لقطات أكبر (مثلاً 4GB+) ستحتاج أيضاً إلى ذاكرة وصول عشوائي كافية. في اختباراتي، كان هناك حاجة إلى حوالي نصف حجم ملف اللقطة في ذاكرة الوصول العشوائي.
تم اختبار المكتبة مع عدد من مجموعات البيانات، يرجى إنشاء تقرير مشكلة إذا واجهت مشاكل.
محلل لقطة AD Explorer مطبَّق كوحدة خاصة به، والتي يمكن استخدامها بشكل فردي أيضاً.
التنسيق الذي تخزن به اللقطات بواسطة AD Explorer هو تنسيق خاص وأدى إلى رحلة عكسية مسلية لإعادة الهندسة. تم تضمين قالب محرر 010 في هذا المستودع، والذي استخدمته لرسم محتويات اللقطة بشكل متكرر إلى بنى.
بالنسبة لوضع إخراج BloodHound، تدعم هذه المكتبة تنسيق إخراج BloodHound v6. تم دعم الإصدارات القديمة في الالتزامات السابقة إذا كنت لا تزال بحاجة إليها. بالنسبة لتنسيق v3 القديم، يمكنك استخدام الكود في فرع v3-format.
من ناحية OPSEC، AD Explorer هي أداة Microsoft مشروعة. عند إجراء لقطة، يتم إجراء استعلامات محدودة فقط إلى خادم LDAP (objectGuid=*). ومع ذلك، فإن مجموعة النتائج ضخمة حيث يتم استرداد جميع الكائنات وسماتها المرتبطة. ينتج عن ذلك إخراج ضخم الحجم.
يمكن اكتشاف هذه الأداة بعدة طرق، وأحيلكم إلى منشور المدونة الممتاز من FalconForce: FalconFriday — Detecting Active Directory Data Collection — 0xFF21.
هذا الكود مرخص بموجب ترخيص MIT ويستخدم كوداً مرخصاً أيضاً بموجب ترخيص MIT.
يعتمد ADExplorerSnapshot.py على المشاريع التالية:
الإسناد:
شكراً لـ Deloitte لتوفير البيئة التي تم فيها تطوير هذه الأداة.