BloodHound.py

BloodHound.py هي أداة إدخال مبنية على بايثون لـ BloodHound، ومبنية على Impacket.

الكود في هذا الفرع متوافق فقط مع BloodHound 4.2 و4.3. بالنسبة لـ BloodHound CE، راجع فرع bloodhound-ce

التثبيت

توجد طرق تثبيت مختلفة لكل من BloodHound Community Edition (CE) وBloodHound القديم. يمكنك تثبيت واحدة فقط من الأداتين في نفس الوقت، إلا إذا استخدمت بيئة افتراضية لكلتا الأداتين، أو مدير حزم مثل pipx الذي يقوم بإعدادها تلقائيًا.

إصدار BloodHound القديم

طرق التثبيت التالية متاحة:

• عبر pip: pip install bloodhound
• عبر pipx: pipx install bloodhound
• عن طريق استنساخ هذا المستودع git clone https://github.com/dirkjanm/BloodHound.py وتشغيل pip install . من دليل المشروع.

سيضيف تثبيت BloodHound.py القديم أداة سطر أوامر باسم bloodhound-python إلى PATH الخاص بك.

إصدار BloodHound CE

طرق التثبيت التالية متاحة:

• عبر pip: pip install bloodhound-ce
• عبر pipx: pipx install bloodhound-ce
• عن طريق استنساخ هذا المستودع git clone https://github.com/dirkjanm/BloodHound.py، والتبديل إلى فرع CE باستخدام git checkout bloodhound-ce وتشغيل pip install . من دليل المشروع.

ستضيف أداة الإدخال BloodHound.py CE أداة سطر أوامر باسم bloodhound-ce-python إلى PATH الخاص بك.

الاستخدام

لاستخدام أداة الإدخال، ستحتاج كحد أدنى إلى بيانات اعتماد للمجال الذي تسجل الدخول إليه. يمكن تحديد بيانات الاعتماد كاسم مستخدم + كلمة مرور، أو تجزئة NT، أو مفاتيح AES، أو TGT لكيربيروس في ملف ccache. ستحتاج إلى تحديد الخيار -u باسم مستخدم لهذا المجال (أو username@domain لمستخدم في مجال موثوق). إذا كان DNS لديك مضبوطًا بشكل صحيح وكان مجال Active Directory موجودًا في قائمة بحث DNS الخاصة بك، فسيكتشف BloodHound.py المجال تلقائيًا. إذا لم يكن كذلك، يجب تحديده يدويًا باستخدام الخيار -d.

افتراضيًا، سيقوم BloodHound.py بالاستعلام عن LDAP وأجهزة الكمبيوتر الفردية في المجال لتعداد المستخدمين والمجموعات والمجموعات الفرعية والثقات والجلسات ومسؤولي الأجهزة المحليين. إذا أردت تقييد الجمع، حدد معامل --collectionmethod، الذي يدعم الخيارات التالية (على غرار SharpHound):

• Default - يقوم بجمع عضوية المجموعات، وجمع ثقات المجال، وجمع المسؤولين المحليين، وجمع الجلسات
• Group - يقوم بجمع عضوية المجموعات
• LocalAdmin - يقوم بجمع المسؤولين المحليين
• RDP - يقوم بجمع مستخدمي سطح المكتب البعيد
• DCOM - يقوم بجمع مستخدمي COM الموزعة
• Container - يقوم بجمع الحاويات (GPO/الوحدات التنظيمية/الحاويات الافتراضية)
• PSRemote - يقوم بجمع مستخدمي الإدارة عن بُعد (PS Remoting)
• DCOnly - يشغّل جميع طرق الجمع التي يمكن الاستعلام عنها من وحدة تحكم المجال فقط، دون الحاجة إلى اتصال بالأجهزة/الخوادم الأعضاء. وهذا يعادل Group,Acl,Trusts,ObjectProps,Container
• Session - يقوم بجمع الجلسات
• Acl - يقوم بجمع قوائم التحكم بالوصول (ACL)
• Trusts - يقوم بتعداد ثقات المجال
• LoggedOn - يقوم بتعداد الجلسات المميزة (يتطلب مسؤولًا محليًا على الهدف)
• ObjectProps - يقوم بجمع خصائص الكائنات لخصائص مثل LastLogon أو PwdLastSet
• All - يشغّل جميع الطرق المذكورة أعلاه، باستثناء LoggedOn
• Experimental - يتصل بالأجهزة المضيفة الفردية لتعداد الخدمات والمهام المجدولة التي قد تخزن بيانات اعتماد

يجب فصل طرق الجمع المتعددة بفاصلة، على سبيل المثال: -c Group,LocalAdmin

يمكنك تجاوز بعض خيارات الاكتشاف التلقائي، مثل اسم مضيف وحدة تحكم المجال الأساسية إذا كنت تريد استخدام وحدة تحكم مجال مختلفة مع -dc، أو تحديد الفهرس العام الخاص بك مع -gc.

القيود

يمتلك BloodHound.py حاليًا القيود التالية:

• يدعم معظم ميزات BloodHound (SharpHound)، ولكن ليس كلها. حاليًا، لا يتم دعم مجموعات GPO المحلية، بينما جميع طرق الجمع الأخرى منفذة.

استخدام Docker

1. ابنِ الحاوية
   docker build -t bloodhound .
2. شغّل الحاوية
   docker run -v ${PWD}:/bloodhound-data -it bloodhound
   بعد ذلك يمكنك تشغيل bloodhound-python داخل الحاوية، وستُخزَّن جميع البيانات في المسار الذي تبدأ منه الحاوية.

شكر وتقدير

كان BloodHound.py مكتوبًا في الأصل بواسطة Dirk-jan Mollema وEdwin van Vliet وMatthijs Gielen من Fox-IT (NCC Group). يتم صيانة BloodHound.py حاليًا بواسطة Dirk-jan Mollema من Outsider Security. يعتمد التنفيذ ونموذج البيانات على الأداة الأصلية من SpecterOps. شكر جزيل لكل من ساهم بالاختبار وتقديم المشكلات وطلبات السحب على مر السنين.