Offline-AD/Entra-Angriffspfad-Analysator für SharpHound/AzureHound-JSON. Deckt priorisierte Privilegieneskalations-, Credential- und Fehlkonfigurations-Findings auf, ohne BloodHound oder Neo4j.
Ein SquidSec Open-Source-Projekt
SquidOffense.com ·
GitHub
BloodBash ist ein quelloffener Offline-Analysator für SharpHound-und-AzureHound-JSON-Dateien, entwickelt und verwaltet von SquidSec. Er erstellt einen Graphen, deckt AD-/Entra-Angriffspfade und Fehlkonfigurationen auf und gibt priorisierte Befunde aus. Kein Neo4j oder BloodHound UI erforderlich.
| Organisation | SquidSec |
| Website | https://squidoffense.com/ |
| App-Version | v1.4.2 |
| Neuestes Binary |  |
| Lizenz | MIT |
| Laufzeitumgebung (Quellcode) | Python 3.9+ |
Merges in main erstellen automatisch Linux- und Windows-Binaries und veröffentlichen ein GitHub Release (Tag v1.4.2-build.N).
BloodBash wird von SquidSec für die Sicherheitscommunity entwickelt und gepflegt - für Red Teamer, Pentester und Verteidiger, die eine schnelle Offline-AD-/Entra-Analyse benötigen, ohne BloodHound-Infrastruktur aufsetzen zu müssen.
Eigenständige SquidSec BloodBash-Executables - kein Python, pip oder venv erforderlich:
| Plattform | Neuester Download |
|---|---|
| Linux x64 | bloodbash-linux-x64 |
| Windows x64 | bloodbash-windows-x64.exe |
# Linux
curl -sL -o bloodbash \
https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-linux-x64
chmod +x bloodbash
./bloodbash /path/to/json --all
# Windows (PowerShell)
Invoke-WebRequest -Uri "https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-windows-x64.exe" `
-OutFile bloodbash.exe
.\bloodbash.exe C:\path\to\json --all
pipx install git+https://github.com/DotNetRussell/BloodBash
Oder aus einem Klon:
git clone https://github.com/DotNetRussell/BloodBash.git
cd BloodBash
python3 -m venv venv && source venv/bin/activate
pip install -r requirements.txt
Abhängigkeiten: networkx, rich, tqdm, pyyaml.
Beginne mit diesen 3 (richte sie auf ein SharpHound/AzureHound-Verzeichnis oder .zip):
# 1) Day-0 triage - default when you pass only the data path
bloodbash /path/to/json
# same as:
bloodbash /path/to/json --quick-wins
# 2) Just owned a user - outbound compromise dossier
bloodbash ./sharpout --from-user alice --from-user-export
# 3) Full attack analysis (large env: --fast auto on big graphs)
bloodbash /path/to/json --all --fast
# inventory ladders still opt-in:
bloodbash /path/to/json --all --inventory
Von einem Source-Checkout aus ist python3 BloodBash.py äquivalent zu bloodbash.
# Binary / pipx
./bloodbash /path/to/json
bloodbash /path/to/json --from-user alice --from-user-export
# Multi-collection merge (low-priv + DA zip, multi-domain forest)
bloodbash ./lowpriv.zip --merge ./da.zip ./child-domain.zip --all --fast
Ein reines Verzeichnis (ohne Prüf-Flags) führt die Quick-Wins-Triage aus. Verwenden Sie --all für eine vollständige Angriffspfad-Analyse (kein Inventar) oder --wizard für eine interaktive Auswahl.
Unter --all und --quick-wins werden leere Detektor-Abschnitte unterdrückt, damit die Konsole lesbar bleibt. Selektive Flags geben weiterhin grüne „none found"-Zeilen für die von Ihnen angeforderten Prüfungen aus.
Beispieldaten: SampleSharphoundADData/ und SampleAzurehoundData/.
bloodbash --help # start-here + cheat sheet
bloodbash --help-advanced # full flag tables + all examples
Weitere Rezepte: docs/cookbook.md.