BloodBash

Um Projeto Open Source da SquidSec
SquidOffense.com · GitHub

BloodBash é um analisador offline de JSON do SharpHound e do AzureHound, de código aberto, criado e mantido pela SquidSec. Ele constrói um grafo, revela caminhos de ataque e configurações incorretas de AD/Entra, e imprime descobertas priorizadas. Não requer Neo4j nem a interface do BloodHound.

Organização	SquidSec
Website	https://squidoffense.com/
Versão do app	v1.4.2
Binário mais recente
Licença	MIT
Runtime (código-fonte)	Python 3.9+

Merges para a main compilam automaticamente binários para Linux e Windows e publicam um GitHub Release (tag v1.4.2-build.N).

---

Sobre a SquidSec

O BloodBash é criado e mantido pela SquidSec para a comunidade de segurança - red teamers, pentesters e defensores que precisam de análise offline rápida de AD/Entra sem montar infraestrutura do BloodHound.

• Website: https://squidoffense.com/
• Projeto: https://github.com/DotNetRussell/BloodBash

---

Download (sem necessidade de Python)

Executáveis standalone do BloodBash da SquidSec - sem necessidade de Python, pip ou venv:

Plataforma	Download mais recente
Linux x64	bloodbash-linux-x64
Windows x64	bloodbash-windows-x64.exe

• Todas as releases e tags de versão: https://github.com/DotNetRussell/BloodBash/releases
• Página da release mais recente: https://github.com/DotNetRussell/BloodBash/releases/latest

# Linux
curl -sL -o bloodbash \
  https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-linux-x64
chmod +x bloodbash
./bloodbash /path/to/json --all

# Windows (PowerShell)
Invoke-WebRequest -Uri "https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-windows-x64.exe" `
  -OutFile bloodbash.exe
.\bloodbash.exe C:\path\to\json --all

Instalação (Python / código-fonte)

pipx install git+https://github.com/DotNetRussell/BloodBash

Ou de um clone:

git clone https://github.com/DotNetRussell/BloodBash.git
cd BloodBash
python3 -m venv venv && source venv/bin/activate
pip install -r requirements.txt

Dependências: networkx, rich, tqdm, pyyaml.

Início rápido

Comece com estes 3 (aponte para um diretório SharpHound/AzureHound ou .zip):

# 1) Day-0 triage - default when you pass only the data path
bloodbash /path/to/json
# same as:
bloodbash /path/to/json --quick-wins

# 2) Just owned a user - outbound compromise dossier
bloodbash ./sharpout --from-user alice --from-user-export

# 3) Full attack analysis (large env: --fast auto on big graphs)
bloodbash /path/to/json --all --fast
# inventory ladders still opt-in:
bloodbash /path/to/json --all --inventory

A partir de um checkout do código-fonte, python3 BloodBash.py é equivalente a bloodbash.

# Binary / pipx
./bloodbash /path/to/json
bloodbash /path/to/json --from-user alice --from-user-export

# Multi-collection merge (low-priv + DA zip, multi-domain forest)
bloodbash ./lowpriv.zip --merge ./da.zip ./child-domain.zip --all --fast

Diretório simples (sem flags de verificação) executa a triagem quick-wins. Use --all para análise completa de caminhos de ataque (não inventário), ou --wizard para um seletor interativo.

Sob --all e --quick-wins, seções de detector vazias são suprimidas para que o console permaneça legível. Flags seletivas ainda imprimem linhas verdes "none found" para as verificações solicitadas.

Dados de exemplo: SampleSharphoundADData/ e SampleAzurehoundData/.

bloodbash --help            # start-here + cheat sheet
bloodbash --help-advanced   # full flag tables + all examples

Mais receitas: docs/cookbook.md.

O que ele encontra