ShareHound: رسم خرائط حقوق مشاركات الشبكة باستخدام BloodHound OpenGraph

أداة لرسم خرائط حقوق الوصول لمشاركات الشبكة في OpenGraphs الخاصة بـ BloodHound.

اقرأ مقال المدونة المرتبط: https://specterops.io/blog/2025/10/30/sharehound-an-opengraph-collector-for-network-shares/

نسختان من التطبيق

يحتوي هذا المستودع على نسختين من ShareHound. تشتركان في الهدف نفسه — إنتاج JSON بصيغة BloodHound OpenGraph من أذونات مشاركات SMB — لكنهما تختلفان في اللغة وبيئة التشغيل ومجموعة الميزات. اختر ما يناسب سير عملك.

يحتوي كل مجلد فرعي على README خاص به يتضمن تفاصيل كاملة عن التركيب والاستخدام والإعداد:

• Python/README.md
• Go/README.md

الميزات (المشتركة بين النسختين)

• رسم خرائط لمشاركات الشبكة الخاصة بنطاق وحقوقها بصيغة BloodHound OpenGraph
• مطابقة قواعد قابلة للتخصيص بدرجة كبيرة عبر لغة ShareQL
• اكتشاف متعدد الخيوط لمشاركات الشبكة (بحث العرض أولاً Breadth First Search)
• مصادقة NTLM وKerberos وpass-the-hash
• دعم نطاقات CIDR وملفات الأهداف

ميزات إضافية في نسخة Go

• إخراج دفق مضغوط بصيغة ZIP (يتعامل مع ملايين الحواف)
• عمليات مسح قابلة للاستئناف عبر ملفات نقاط التحقق
• وضع --effective-access-only لتقليل حجم الرسم البياني بشكل كبير في البيئات الكبيرة
• إصدارات بناء ثابتة متعددة المنصات (Linux وWindows وmacOS)

استعلامات Cypher للبدء السريع

بعد استيراد OpenGraph إلى BloodHound، تغطي هذه الاستعلامات الاحتياجات الأكثر شيوعًا. لمزيد من التفاصيل، راجع ملفات README الخاصة بكل تنفيذ.

MATCH (p)-[r]->(s:NetworkShareSMB)
WHERE (p)-[:CanDelete]->(s)
  AND (p)-[:CanDsControlAccess]->(s)
  AND (p)-[:CanDsCreateChild]->(s)
  AND (p)-[:CanDsDeleteChild]->(s)
  AND (p)-[:CanDsDeleteTree]->(s)
  AND (p)-[:CanDsListContents]->(s)
  AND (p)-[:CanDsListObject]->(s)
  AND (p)-[:CanDsReadProperty]->(s)
  AND (p)-[:CanDsWriteExtendedProperties]->(s)
  AND (p)-[:CanDsWriteProperty]->(s)
  AND (p)-[:CanReadControl]->(s)
  AND (p)-[:CanWriteDacl]->(s)
  AND (p)-[:CanWriteOwner]->(s)
RETURN p,r,s

MATCH x=(p)-[r:CanWriteDacl|CanWriteOwner|CanDsWriteProperty|CanDsWriteExtendedProperties]->(s:NetworkShareSMB)
RETURN x

MATCH p=(h:NetworkShareHost)-[:HasNetworkShare]->(s:NetworkShareSMB)-[:Contains*0..]->(f:File)
WHERE toLower(f.name) = toLower("flag.txt")
RETURN p

MATCH p=(h:NetworkShareHost)-[:HasNetworkShare]->(s:NetworkShareSMB)-[:Contains*0..]->(f:File)
WHERE toLower(f.extension) = toLower(".vmdk")
RETURN p

MATCH p=(principal)-[:CanEffectiveRead]->(f:File)
RETURN p

الاعتمادات

• المشروع الأصلي: Remi Gascou (@podalirius_) @ SpecterOps — p0dalirius/ShareHound
• نسخة Go: Javier Azofra @ Siemens Healthineers
• مقال المدونة المرتبط: ShareHound: An OpenGraph Collector for Network Shares

المساهمة

طلبات Pull requests مرحب بها لكلا التنفيذين. افتح issue إذا أردت مناقشة ميزة جديدة أولًا.