BloodHound CE + OpenGraph 데이터를 사용한 Active Directory, ADCS, SCCM 및 MSSQL 공격 경로 매핑
ADPathFinder는 모의 침투 테스터(pentester)와 레드 팀(red team)을 위한 공격 경로 매핑 도구입니다. SharpHound 데이터를 분석하고 이를 OpenGraph 플러그인과 통합하여, 낮은 권한의 사용자와 컴퓨터에서 시작해 도메인 관리자(Domain Admins) 및 도메인 컨트롤러(Domain Controllers)와 같은 고가치 대상으로 이어지는 공격 경로를 표면화합니다. MSSQLHound와 ConfigManBearPig를 기본적으로 지원하여 AD, ADCS, SCCM, MSSQL 전반에 걸친 커버리지를 확장합니다.
바로가기: 빠른 시작 · 커버리지 · 작동 방식 · 출력 · 구성 · 기여자
| 영역 | 예시 |
|---|---|
| 핵심 AD | 승격 경로, 위임, 관리자 권한, BadSuccessor, 노출된 고가치 세션 |
| 비밀번호 | 취약한 비밀번호, 빈 비밀번호, 재사용, 사용자 이름 유사성, LM 해시 사용, 취약한 비밀번호와 결합된 Kerberoast 및 AS-REP 노출 |
| ADCS | ESC 방식 인증서 템플릿 및 CA 위험 |
| MSSQL (MSSQLHound OpenGraph 데이터) | 로그인, 연결된 서버, 가장(impersonation), 릴레이 및 권한 승격 경로 |
| SCCM (ConfigManBearPig OpenGraph 데이터) | 탈취 및 릴레이 경로, PXE가 활성화된 배포 지점, 관리 지점 정책 검색 |
| 도메인 간 | 도메인 간 트러스트, 공유 비밀번호 및 승격 경로 |
neo4j://localhost:7687에서 로컬로 사용 가능해야 합니다.git clone https://github.com/NetSPI/AD-PathFinder.git
cd AD-PathFinder
python3 -m venv .venv
source .venv/bin/activate
pip install -e .
adpathfinder --setup-bloodhound-api
이 명령은 가져오기 및 삭제 작업에 사용되는 BloodHound CE API 설정을 저장합니다.
adpathfinder --import SharpHound.zip
여러 SharpHound 및 OpenGraph 플러그인 zip 파일을 한 번의 명령으로 가져올 수 있습니다:
adpathfinder --import SharpHound.zip MSSQLHound.zip ConfigManBearPig.zip
adpathfinder -i SharpHound.zip MSSQLHound.zip ConfigManBearPig.zip --ad --pwd Contoso,ContosoIT --ntds ntds.txt -p hashcat.potfile
보유한 zip 파일만 사용하세요. --pwd 값은 AD 도메인이 아니며, 크래킹된 비밀번호에서 플래그로 표시할 회사, 브랜드 또는 조직 관련 용어의 쉼표로 구분된 목록입니다.
adpathfinder --ad
adpathfinder --ad --pwd Contoso,ContosoIT --ntds ntds.txt -p hashcat.potfile
보고서에 평문 비밀번호를 포함해야 하는 경우에만 --unsafe-report를 사용하세요.
adpathfinder --ad --pwd Contoso,ContosoIT --ntds ntds.txt -p hashcat.potfile --diagnostics
ADPathFinder는 작업 디렉터리에서 config.ini를 읽습니다. 값은 ADPF_* 환경 변수로도 설정할 수 있습니다.
가져오기 및 삭제를 위한 BloodHound CE API 액세스를 구성하려면 다음을 실행하세요:
adpathfinder --setup-bloodhound-api
모든 옵션, Neo4j 연결 설정, 파일 권한 및 예제 구성에 대해서는 위키의 Configuration 문서를 참조하세요. 공격 경로 출력 필터링에 대해서는 Excluded relationships 문서를 참조하세요.
보고서는 report_<domain>/ 디렉터리에 작성됩니다(예: report_training.local/).
NTDS 데이터, potfile 및 생성된 보고서는 민감한 평가 데이터로 취급하세요. --unsafe-report 플래그는 출력 파일에 평문 비밀번호를 기록하므로, 보고서에 평문이 구체적으로 필요한 경우에만 사용하고 결과 _unsafe 파일도 그에 맞게 보관하세요.
도메인 감사 및 비밀번호 감사 출력 예시는 sample_reports/를 참조하세요.
체크(Check)는 데코레이터로 등록하고 데이터 요구 사항을 선언하며 발견 항목 딕셔너리를 반환하는 작은 클래스입니다. 플랫폼 체크는 데이터 소스를 선언하므로, 일반 AD 감사에서는 해당 OpenGraph 데이터가 없을 때 MSSQL 또는 SCCM 체크를 건너뜁니다.
위키에서 Adding new checks, OpenGraph 플러그인 사용 및 Framework Guide 문서를 참조하세요.
pip install -e ".[test]"를 실행한 후 pytest tests/ -m "not neo4j and not integration"를 실행하면 Neo4j 없이 빠른 프레임워크 테스트를 수행할 수 있습니다. Neo4j 픽스처 스위트와 전체 로컬 테스트 워크플로는 tests/README.md를 참조하세요.
ADPathFinder는 다른 프로젝트들이 수집한 데이터를 기반으로 합니다. 해당 프로젝트의 작성자들과 SpecterOps 팀에 감사드립니다:
| 단계 | 수행 작업 |
|---|
| 수집(Ingest) | SharpHound 및 지원되는 OpenGraph zip을 하나의 그래프로 병합합니다. MSSQLHound 및 ConfigManBearPig 데이터를 직접 지원합니다 |
| 매핑(Map) | 사용자와 컴퓨터에서 고가치 대상까지의 최단 경로를 찾습니다. 엣지 집합을 구성하여 HasSession과 같은 노이즈가 많은 엣지를 제거할 수 있습니다 |
| 그룹화(Group) | 경로를 공유하는 계정을 그룹화하여, 반복되는 경로를 여러 개의 유사한 결과 대신 하나의 발견 항목으로 보고합니다 |
| 페어링(Pair) | NTDS 해시 및 hashcat potfile을 그래프 데이터와 비교하여 평가 중 사용할 수 있는 경로를 보여줍니다 |
| 계층화(Layer) | SMB 서명 비활성화 또는 기본 권한 그룹과 같은 독립적인 발견 항목을 보고하고, 동일한 호스트나 그룹이 고가치 대상으로의 경로에도 있을 때 심각도를 상향합니다 |
| 렌더링(Render) | SVG 경로 그래프, 완화 조치 노트, PowerShell 검증 단계 및 수정 상태 추적이 포함된 HTML 보고서와 텍스트, JSON, 진단 출력을 작성합니다 |
| 출력물 | 용도 |
|---|
<domain>_AD_report.html | 그룹화된 발견 항목, 경로 그래프, 완화 조치 노트, 검증 단계 및 수정 상태 추적이 포함된 고객용 HTML 보고서 |
<domain>_domain_audit.txt / <domain>_domain_audit.json | 검토, 자동화 및 추후 분석을 위한 텍스트 및 JSON 도메인 감사 출력 |
<domain>_password_audit.html / <domain>_password_audit.txt / <domain>_password_audit.json | NTDS 해시와 hashcat potfile이 제공된 경우의 비밀번호 감사 출력 |
<domain>_*_unsafe.* | --unsafe-report로만 생성되는 선택적 unsafe 보고서. 평문 비밀번호가 포함될 수 있습니다 |
diagnostics.json | --diagnostics로 생성되는 선택적 실행 통계 및 디버깅 데이터 |