[No content provided in the INPUT section. Please paste the Markdown text you wish to have translated.]```powershell
# Windows (PowerShell)
Invoke-WebRequest -Uri "https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-windows-x64.exe" `
  -OutFile bloodbash.exe
.\bloodbash.exe C:\path\to\json --all

Oppure da un clone:```bash
git clone https://github.com/DotNetRussell/BloodBash.git
cd BloodBash
python3 -m venv venv && source venv/bin/activate
pip install -r requirements.txt

Da un checkout del sorgente, `python3 BloodBash.py` è equivalente a `bloodbash`.```bash
# Binary / pipx
./bloodbash /path/to/json
bloodbash /path/to/json --from-user alice --from-user-export

# Multi-collection merge (low-priv + DA zip, multi-domain forest)
bloodbash ./lowpriv.zip --merge ./da.zip ./child-domain.zip --all --fast

More recipes: [docs/cookbook.md](https://github.com/squidsec/bloodbash/blob/HEAD/docs/cookbook.md).

## Cosa trova

| Area | Controlli |
|------|--------|
| **Privilegi AD** | DCSync (GetChanges+GetChangesAll; DA/EA nidificati trattati come previsto), ACL pericolose su oggetti di alto valore, **interessante abuso ACL non-HV** (ForceChangePassword / GenericAll / GenericWrite su utenti/computer/gruppi; soppresso il rumore dei computer in blocco con GenericWrite), abuso GPO, RBCD (configurato + *può configurare*), delega vincolata/non vincolata (sezioni **DC vs non-DC**), cronologia SID, **trust di dominio** (`--trust`) |
| **Credenziali AD** | Kerberoastable, AS-REP roastable (con tag **AdminCount / OWNED / LASTLOG**), **roast privilegiato** (`--privileged-roast`: roastable + DA/EA nidificati / AdminCount), credenziali shadow, password nella descrizione, PasswordNeverExpires / PasswordNotRequired. SharpHound `sensitive` (NOT_DELEGATED) **non** esclude i candidati al roast |
| **ADCS** | ESC1-ESC7 (+ ESC8/ESC9/ESC13 quando esistono le proprietà del collector). ESC10-12 richiedono dati di ruolo registry/HTTP spesso assenti da SharpHound. Messaggio soft quando lo zip non ha oggetti certificato |
| **Azure / Entra** | Ruoli privilegiati, percorsi di *controllo* delle credenziali di app/SP, disattivazione esplicita MFA, utenti guest, diritti di abuso SP |
| **Percorsi** | Percorsi più brevi verso obiettivi di alto valore (set limitato in `--fast`; HV include Administrators predefiniti e **computer controller di dominio**), principal posseduti (`--owned` = in entrata), `--path-from` / `--path-to` personalizzati |
| **Dossier di compromissione** | `--from-user` / `--compromise`: appartenenze in uscita, conteggi AdminTo/RDP/ACL, gruppi nidificati, percorsi automatici verso HV, esportazione txt/csv inclusi **elenchi host AdminTo in blocco** |
| **Rimedi dei percorsi** | Classifica dei percorsi più trafficati (`--busiest-paths`), raccomandazioni per la rimozione di edge (`--path-break`) |
| **Inventario** | Scale di età delle password, account obsoleti/inattivi, gruppi di privilegi, strutturali (domini/DC/trust), inventario degli oggetti posseduti, **dashboard statistiche con %** |
| **Pacchetto CSV stile PlumHound** | `--csv-pack DIR`: inventario multi-CSV (domini, DA, roastable, LAPS, edge Everyone/overpriv, computer AdminTo computer, doppio admin privilegiato+locale, host AdminTo in blocco) + `index.csv` |
| **Input multiplo** | `--merge PATH…` unisce directory/zip aggiuntivi in un unico grafo (multi-dominio / raccolte duali low-priv+DA) |
| **Altro** | **Banner di salute della raccolta** (conteggi oggetti, copertura sessioni/AdminTo/RDP, presenza ADCS), copertura LAPS (`haslaps`) + **lettori di password LAPS** (`ReadLAPSPassword`), XML GPO (`--gpo-content-dir`), edge `Trusts[]` di dominio, nidificazione gruppi, `--list-domains` |

I risultati vengono valutati e riepilogati in una tabella **Prioritized Findings** (le categorie di igiene ad alto volume collassano; usa `--all-findings` per l'elenco completo collassato). I pannelli di abuso suggeriscono strumenti/comandi per categoria.

Questo è un **analizzatore euristico offline** di SquidSec, non un sostituto completo di BloodHound CE. Preferisci validare con BloodHound CE sullo stesso zip per parità dei percorsi.

---

## Esempi di comandi

Sostituisci `./sharpout` con la tua directory o zip di SharpHound/AzureHound. Checkout dal sorgente: usa `python3 BloodBash.py` invece di `bloodbash`.

### Nozioni di base```bash
# Help (tables + examples)
bloodbash --help
bloodbash --help-advanced

# Default = quick wins (high-signal day-0 triage)
bloodbash ./sharpout
bloodbash ./sharpout --quick-wins
bloodbash ./sharpout --quick-wins --domain CORP.LOCAL
bloodbash ./2024-collection.zip --quick-wins

# Interactive picker
bloodbash ./sharpout --wizard

# Full attack analysis (--all auto --fast on large graphs; inventory is separate)
bloodbash ./sharpout --all
bloodbash ./sharpout --all --fast
bloodbash ./2024-collection.zip --all
bloodbash ./sharpout --all --inventory

# Merge multiple collections into one graph
bloodbash ./lowpriv.zip --merge ./da.zip --all --fast
bloodbash ./forest-root --merge ./child-a.zip ./child-b.zip --quick-wins

# One domain / tenant only
bloodbash ./sharpout --all --domain CORP.LOCAL
bloodbash ./azureout --azure-privileged-roles --domain <tenantId>

# Domain trusts
bloodbash ./sharpout --trust
bloodbash ./sharpout --all --trust

# In-repo samples
bloodbash SampleSharphoundADData --quick-wins
bloodbash SampleSharphoundADData --all --fast --all-findings
bloodbash SampleAzurehoundData --azure-privileged-roles --azure-guest-access --all-findings

**Layout di esportazione** (per principal):```text
compromise-alice/
  summary.md              README.txt           counts.csv
  membership_direct.txt   membership_effective.txt
  adminto_hosts.txt       adminto_hosts.csv    # bulk AdminTo/LocalAdmin host list
  paths_to_high_value.txt paths_to_high_value.csv
  dossier.json
  rights/
    AdminTo.txt  AdminTo.csv  CanRDP.txt  LocalAdmin.txt  GenericAll.txt  ...

### Controlli AD selettivi```bash
# Critical / common engagement set
bloodbash ./sharpout --dcsync --adcs --dangerous-permissions --verbose
bloodbash ./sharpout --dcsync --adcs --dangerous-permissions --all-findings

# Credentials (+ privilege-context tags on roast findings)
bloodbash ./sharpout --kerberoastable --as-rep-roastable --password-descriptions
# High-priority: roastable users nested into DA/EA/...
bloodbash ./sharpout --privileged-roast
bloodbash ./sharpout --password-never-expires --password-not-required --password-age

# Delegation / RBCD (configured + who can configure AllowedToAct) / shadow creds
bloodbash ./sharpout --unconstrained-delegation --constrained-delegation --rbcd
bloodbash ./sharpout --shadow-credentials

# Trusts, sessions, LAPS (coverage + ReadLAPSPassword readers), SID history, GPO
bloodbash ./sharpout --trust --sessions --laps --sid-history
bloodbash ./sharpout --gpo-abuse --gpo-parsing
bloodbash ./sharpout --gpo-abuse --gpo-content-dir ./sysvol-gpo-xml

### Contenuti del pacchetto CSV in stile PlumHound

`--csv-pack DIR` scrive un CSV per ogni attività di inventario più `index.csv` / `README.txt` (senza Neo4j):

| CSV | Descrizione |
|-----|-------------|
| `domains.csv` | Domini AD nella raccolta |
| `domain_admins.csv` | Principal annidati in gruppi in stile DA/EA |
| `users.csv` / `computers.csv` / `groups.csv` | Inventario degli oggetti principali |
| `kerberoastable.csv` / `asrep_roastable.csv` | Candidati per credential roasting (+ tag) |
| `password_never_expires.csv` | Utenti PNE |
| `laps_not_enabled.csv` | Computer senza LAPS |
| `local_admins_users.csv` | Utente/gruppo → computer AdminTo/LocalAdmin |
| `user_sessions.csv` | HasSession computer ↔ utente |
| `relationships_everyone.csv` (e Auth Users, Domain Users, …) | Relazioni da principal eccessivamente ampi |
| `overprivileged_relationships.csv` | Relazioni combinate di Everyone/Auth/Domain Users/… |
| `computer_adminto_computer.csv` | Macchina → macchina AdminTo |
| `dual_privileged_and_local_admin.csv` | Membri DA/EA che hanno anche AdminTo (tiering) |
| `bulk_adminto_hosts.csv` | Principal classificati in base al numero di host AdminTo |
| `index.csv` | Indice del report (file → conteggio righe) |

### Azure / Entra```bash
bloodbash ./azureout --azure-privileged-roles
bloodbash ./azureout --azure-app-secrets --azure-sp-abuse
bloodbash ./azureout --azure-mfa-bypass --azure-guest-access
bloodbash ./azureout \
  --azure-privileged-roles --azure-app-secrets --azure-mfa-bypass \
  --azure-guest-access --azure-sp-abuse --all-findings --export=html

bloodbash SampleAzurehoundData \
  --azure-privileged-roles --azure-guest-access --all-findings

---

## Riferimento flag

### Pacchetti report, profili, dossier, deliverable (v1.4+)

| Flag | Scopo |
|------|---------|
| `--from-user` / `--compromise USER` | **Dossier di compromissione** (in uscita): gruppi annidati, conteggi AdminTo/RDP/ACL, percorsi verso target ad alto valore |
| `--from-user-export [DIR]` | Esporta dossier txt/csv/json + elenchi **adminto_hosts** (predefinito `compromise-<user>/`) |
| `--busiest-paths [short\|all]` | Classifica i principal con il maggior numero di percorsi verso target ad alto valore |
| `--path-break` | Consiglia quali relazioni rimuovere per spezzare il maggior numero di percorsi di attacco |
| `--inventory` | Inventario strutturale + età password + account stagnanti + privilegi |
| `--password-age` / `--stale-accounts` / `--privilege-inventory` | Moduli di inventario individuali |
| `--owned-inventory` | Inventario AdminTo / MemberOf per i principal specificati da `--owned` / `--owned-file` |
| `--owned-file FILE` | Principal posseduti delimitati per riga (si uniscono a `--owned`) |
| `--from-user-file FILE` | Foothold delimitati per riga per i dossier di compromissione (si uniscono a `--from-user`) |
| `--report-pack DIR` | Suite HTML multipagina + `index.html` + CSV per sezione |
| `--csv-pack DIR` | **Pacchetto multi-CSV in stile PlumHound** (inventario + overpriv + report AdminTo + `index.csv`) |
| `--export-zip [FILE]` | Comprime in uno zip una directory `--report-pack` o `--csv-pack` in un unico deliverable |
| `--profile FILE\|name` | Profilo di analisi YAML (`quick`, `quick-wins`, `adcs-heavy`, `hygiene`, o percorso) |
| `--log-file [FILE]` | Log di esecuzione append-friendly (default `bloodbash.log`) |
| `--all-findings` | Al termine dell'esecuzione: stampa una tabella di **ogni** finding (anche se vuota) |

### Altre flag utili

| Flag | Scopo |
|------|---------|
| `--all` | Esegue ogni modulo di analisi (le sezioni AD vuote sono soppresse) |
| `--quick-wins` | **Triage day-0 ad alto segnale** (anche il **default** senza flag di check; implica `--fast`) |
| `--merge PATH…` | Directory o zip SharpHound/AzureHound aggiuntivi da unire in un unico grafo |
| `--trust` | Controlli su trust di dominio / abuso del SID filtering |
| `--wizard` | Selettore interattivo di modalità (quick-wins / full / dossier / profile) |
| `--help-advanced` | Tabelle complete delle flag + tutti gli esempi (il `--help` breve è solo start-here) |
| `--fast` | Limita il pathfinding ai target principali in stile DA/EA (non uno skip completo). Si attiva automaticamente per grafi grandi con `--all` |
| `--domain X` | Filtra su un singolo dominio AD o Azure `tenantId` (senza distinzione tra maiuscole e minuscole) |
| `--list-domains` | Elenca i domini AD / tenant Azure nella raccolta ed esce |
| `--owned a,b` | Percorsi **verso** i principal posseduti (in ingresso) |
| `--owned-file FILE` | Come `--owned`, da un file delimitato per righe (commenti `#` consentiti) |
| `--from-user-file FILE` | Come `--from-user`, da un file delimitato per righe |
| `--path-from` / `--path-to` | Percorsi più brevi arbitrari |
| `--inspect NODE` | Scarica proprietà + archi per un nodo |
| `--indirect` | Includi percorsi/diritti mediati da gruppi |
| `--deep-analysis` | Nesting dei gruppi lento + rilevamento cicli |
| `--privileged-roast` | Utenti Kerberoast/AS-REP annidati in gruppi DA/EA/altri gruppi privilegiati (o AdminCount) |
| `--gpo-content-dir DIR` | Analizza XML GPO (attività, script, cPassword) |
| `--export {md,json,html,csv,yaml}` | Scrivi un report (target ad alto valore + finding prioritizzati) |
| `--export-bh` | JSON del grafo in stile BloodHound |
| `--dot [FILE]` | Esportazione Graphviz DOT |
| `--db FILE` | Percorso SQLite del grafo (default: auto-cache in base all'impronta della raccolta in `~/.cache/bloodbash/`) |
| `--cache-dir DIR` | Sostituisce la directory auto-cache del grafo |
| `--no-cache` | Re-ingesta sempre; non leggere/scrivere la cache del grafo |
| `--rebuild-cache` | Forza la re-ingestione e aggiorna la cache del grafo |
| `--debug` | Log dettagliati di parsing/build |

Anche inclusi sotto `--all` / flag selettive: banner di stato della raccolta; interessante abuso ACL non-HV; tag di contesto privilegi sui finding roast; split DCSync inatteso; DC unconstrained vs non-DC; lettori LAPS; RBCD can-configure; percentuali della dashboard delle statistiche; sezioni vuote soppresse nelle esecuzioni ampie.

Toggle solo Azure: `--azure-privileged-roles`, `--azure-app-secrets`, `--azure-mfa-bypass`, `--azure-guest-access`, `--azure-sp-abuse`.

Esegui `bloodbash --help` per start-here + cheat sheet, oppure `--help-advanced` per le tabelle complete delle flag e gli esempi.

## Note su SharpHound CE

L'ingestione riconosce l'output dei collector moderni: `Members` dei gruppi, `AllowedToAct` (RBCD), Sessions / LocalGroups, `Trusts[]` del dominio, SID history, alias dei nomi delle proprietà CE ed estrazione zip sicura (Zip Slip bloccato). DCSync richiede **GetChanges + GetChangesAll**. Le etichette ADCS seguono SpecterOps ESC1-ESC8 (+ candidati ESC9/ESC13 quando le flag sono presenti). Gli oggetti computer dei domain controller restano target ad alto valore. Le flag `highvalue` delle workstation sui gruppi di amministratori locali non inondano il set HV.

## Modulo Metasploit

È un wrapper per la CLI SquidSec BloodBash (v1.4+) e riporta i finding nel database di Metasploit.
Le opzioni rispecchiano la CLI: controlli AD/Azure, inventario, busiest-paths / path-break,
dossier di compromissione `--from-user`, profili, report pack, esportazioni e cache del grafo (`--db` / auto-cache).```bash
cp modules/auxiliary/analyzer/bloodbash_analyzer.rb \
  /opt/metasploit-framework/modules/auxiliary/analyzer/
# then in msfconsole: reload_all

I don't see any content after the "INPUT:" marker. The chunk appears to be empty, so there's nothing to translate.```text
# Foothold dossier + hygiene (parity with CLI examples)
set FROM_USER alice
set FROM_USER_EXPORT
set PASSWORD_NEVER_EXPIRES true
set KERBEROASTABLE true
set ALL_FINDINGS true
run

### Corpus sintetico SharpHound (regressione ad alta entropia)

I dump di esempio pubblici sono piccoli e a bassa entropia. Per la regressione dei rilevatori forniamo un **lab sintetico SharpHound CE** (`testData/synthetic-corp-lab/`) con ground truth noto (DCSync inatteso, scrittura GPO per Auth Users, bulk can-configure RBCD, ESC1, roast, miscela LAPS, ecc.). Nessun dato reale di engagement.```bash
# Regenerate corpus + ground_truth.json
python3 tools/generate_synthetic_sharphound.py --out testData/synthetic-corp-lab

# Smoke BloodBash against it
python3 BloodBash.py testData/synthetic-corp-lab --all --fast --all-findings
python3 BloodBash.py testData/synthetic-corp-lab --from-user alice.low --fast

# 20 multi-hop engagement scenarios (classic + common debt paths)
python3 tools/run_scenario_battery.py
python3 tools/run_scenario_battery.py --count 20 --seed 42 -v
python3 tools/run_scenario_battery.py --list-profiles
python3 tools/run_scenario_battery.py --keep --work-dir /tmp/bb-engagements

### Build locale del binario```bash
python3 -m venv .venv-build && source .venv-build/bin/activate
pip install -r requirements.txt -r requirements-build.txt
pyinstaller --onefile --console --name bloodbash-linux-x64 BloodBash.py
# -> dist/bloodbash-linux-x64