Cypheroth

مجموعة أدوات آلية وقابلة للتوسيع تقوم بتشغيل استعلامات Cypher ضد قاعدة بيانات Neo4j الخاصة بـ Bloodhound وتحفظ المخرجات في جداول بيانات.

الوصف

هذا سكريبت Bash يقوم بأتمتة تشغيل استعلامات Cypher ضد بيانات Bloodhound المخزنة في قاعدة بيانات Neo4j.

وجدت نفسي أعيد تشغيل نفس الاستعلامات عبر واجهة Neo4j على العديد من التقييمات، وأدركت أنه لا بد من وجود طريقة أسهل. 😅

قائمة استعلامات Cypher التي يتم تشغيلها قابلة للتوسيع بالكامل. مثال التنسيق أدناه يوضح كيفية إضافة استعلاماتك الخاصة.

يرجى مشاركة أي استعلامات مفيدة إضافية حتى أتمكن من إضافتها إلى هذا المشروع!

تم اختباره بالكامل ويعمل في Bash على Linux وmacOS وWindows

عرض توضيحي

(تم إنشاؤه باستخدام termtosvg لمتعة المشاهدة)

المتطلبات الأساسية

• يأتي الأمر cypher-shell مرفقًا مع Neo4j، وهو مطلوب لتشغيل هذا السكريبت
  • إذا كان Neo4j مثبتًا ولم يتم العثور على cypher-shell، فقد يكون لديك إصدار قديم من Neo4j
  • يمكن دائمًا العثور على أحدث إصدار في هذا الموقع
  • في Kali، قم بالترقية إلى أحدث إصدار باستخدام مستودع Neo4j Debian
• اختياري: إذا كان الأمر ssconvert موجودًا، فسيقوم السكريبت بدمج جميع ملفات .csv في أوراق داخل ملف .xls
  • قم بتثبيت مجموعة أدوات gnumeric باستخدام apt أو brew للحصول على ssconvert
• في Windows، نوصي باستخدام WSL لتشغيل هذا السكريبت بينما تعمل قاعدة بيانات neo4j على Windows. ستحتاج فقط إلى تثبيت حزمة cypher-shell في WSL (Linux).

الاستخدام

المعايير:

  -u Neo4J Username (Required)
  -p Neo4J Password (Required)
  -d Fully Qualified Domain Name (Required) (Case Sensitive)
  -a Bolt address (Optional) (Default: localhost:7687)
  -t Query Timeout (Optional) (Default: 30s)
  -v Verbose mode (Optional) (Default:FALSE)
  -h Help text and usage example (Optional)

مثال مع الإعدادات الافتراضية:

./cypheroth.sh -u neo4j -p BloodHound -d TESTLAB.LOCAL

مثال مع جميع الخيارات:

./cypheroth.sh -u neo4j -p hunter2 -d BigTech.corp -a 10.0.0.1:7687 -t 5m -v true

تتم إضافة الملفات إلى مجلد فرعي يحمل اسم FQDN.

استعلامات Cypher

يوجد حوالي 60 استعلامًا في السكريبت حاليًا. هذه عينة من المعلومات التي ستحصل عليها:

• قائمة خصائص المستخدم الكاملة
• قائمة خصائص الكمبيوتر الكاملة
• قائمة خصائص المجال الكاملة
• قائمة خصائص الوحدة التنظيمية الكاملة
• قائمة خصائص كائن نهج المجموعة الكاملة
• قائمة خصائص المجموعة الكاملة
• أجهزة كمبيوتر مع مدراء
• أجهزة كمبيوتر بدون مدراء
• المستخدمون القابلون لـ Kerberoast وأجهزة الكمبيوتر التي هم مدراء فيها

لإضافة استعلامات إضافية، قم بتحرير مصفوفة queries داخل cypheroth.sh وأضف سطرًا باستخدام التنسيق التالي:

Description;Cypher Query;Output File

إذا أضفت استعلامًا يتطلب تعيين قيمة المجال، فاحفظه كـ $DOMAIN.

مثال 1:

All Usernames;MATCH (u:User) RETURN u.name;usernames.csv

مثال 2:

All Domain Admins;MATCH (u:User) MATCH (g:Group {name:'DOMAIN ADMINS@$DOMAIN'}) RETURN u.displayname;domainAdmins.csv

تحليل عدة مجالات

إذا كنت بحاجة لتحليل عدة مجالات، يمكنك تشغيل مثيلات متعددة من Cypheroth بالتوازي مع كل منها يعمل على مجاله. يمكنك استخدام السكريبت التالي على سبيل المثال (10 بالتوازي).

#!/usr/bin/env bash
DOMAINS=(domA.example.net domB.example.net [...])
parallel -j10 --lb ./cypheroth.sh <args> -d {} ::: "${DOMAINS[@]}"

استكشاف الأخطاء وإصلاحها

إذا كنت تشغل إصدارًا قديمًا من cypher-shell، فقد تتلقى الخطأ التالي:

DateTime is not supported as a return type in Bolt protocol version 1.
Please make sure driver supports at least protocol version 2.
Driver upgrade is most likely required.

للإصلاح، قم بتحديث Neo4j إلى أحدث إصدار.

المؤلف

Chris Farrell (@seajay)

الشكر والتقدير

• هذه الأداة لم تكن لتوجد بدون BloodHound - تم تطويره بواسطة @_wald0, @CptJesus, و @harmj0y.
• تحية لقناة Bloodhound Slack #cypher_queries للمساعدة
• شكر كبير لـ @TinkerSec - تم نسخ أساسيات هذا المشروع مباشرة من نص برمجي لـ procdump الخاص به 🙃
• شكر جزيل لـ @awsmhacks, @haus3c و @ScoubiMtl لجمع استعلامات Cypher مفيدة (هنا, هنا و هنا)
• نقدر بشدة مساهمات @chryzsh و @mubix!!
• جميع المساهمات الرائعة من @cnotin