bhshell

PyPI Status

Интерактивная командная оболочка для BloodHound. Поиск объектов Active Directory, выявление слабых мест и поиск путей атаки из терминала, без открытия веб-интерфейса.

Установка

Требуется Python 3.11+ и сервер BloodHound CE v9 (протестировано на v9.7.1).

pipx install bhshell     # recommended
# or
pip install bhshell

Быстрый старт

$ bhshell --url http://127.0.0.1:8080

[bh: shell] > login -u admin
[+] Logged in as admin on 127.0.0.1:8080

[bh: shell] > hunt
  Severity   Check            Count   Example                      Description
  critical   dcsync           4       [email protected]       Non-Tier-Zero principals with replication rights
  critical   adcs             95      [email protected]           AD CS escalation paths (ESC*, GoldenCert)
  high       kerberoastable   2       [email protected]   Kerberoastable users
  ...
[*] Details: 'hunt CHECK' (e.g. 'hunt dcsync'), or 'hunt --all'.

[bh: shell] > user PHANTOM\svc_kerb_del --all -o svc_kerb_del.csv

[bh: shell] > ou phantom.corp -t

[bh: shell] > computer DF-MS-SHS -G

[bh: shell] > gpo 'ENABLE [email protected]' -c

[bh: shell] > path --owned -g

Те же команды выполняются неинтерактивно для скриптов: bhshell -c "hunt --json" > hunt.json.

Что он делает

Команда	Показывает
`user`, `computer`, `group`, `lookup`	Уязвимые к Kerberoasting / AS-REP roasting, делегирование, возраст пароля, флаги Tier Zero и owned, а также вложенность групп, входящий/исходящий контроль ACL, сессии и права локального администратора
`ou`	OU, контейнеры и целые домены: дерево OU с количеством объектов, Tier Zero и owned, каждый объект ниже OU, применяемые GPO (принудительные связи, заблокированное наследование) и кто вне Tier Zero может их редактировать, а также кто контролирует OU; `user`/`computer -G` показывает GPO, применённые к одному объекту. Одноимённые OU выбираются по distinguished name
`gpo`	Где связан GPO, к каким пользователям и компьютерам он применяется (с учётом заблокированного наследования и принудительных связей) и кто вне Tier Zero может его редактировать
`ca`, `template`	Корпоративные CA и шаблоны сертификатов: условия ESC, которым соответствует шаблон (включая ESC2 и ESC15, для которых в BloodHound нет ребра), хост и настройки CA (ESC6, ESC8), а также кто может регистрироваться, управлять (ESC7) или перезаписывать их (ESC4)
`search`	Объекты, соответствующие фильтрам свойств (`search -t user hasspn enabled`), с датами, возрастами (`90d`) и подстановочными знаками
`path`	Кратчайшие пути к цели или к Tier Zero, от всех owned-объектов или через шаги `--via`; выводятся как цепочки переходов, терминальный граф или SVG/PNG для отчётов
`hunt`	Проверки по всему домену по уровню серьёзности: DCSync, контроль над Tier Zero, AD CS (ESC*), Kerberoasting, привилегированные сессии, читатели LAPS/gMSA, пароли в атрибутах или всё ещё по умолчанию (компьютеры pre-Windows 2000, неиспользуемые учётные записи, административные учётные записи со стандартным двойником), примитивы захвата (Shadow Credentials, RBCD), контроль GPO, NTLM relay, доверительные отношения, возможные honeytokens...; `hunt --owned` ограничивает их тем, что могут сделать ваши owned-объекты
`cypher`, `query`	Необработанный Cypher и библиотека сохранённых запросов: встроенные, ваши собственные файлы `.cyp` (`~/.bhshell/queries/` или любая папка, заданная через `config query_dirs`) и сохранённые на сервере
`owned`, `hvt`	Отметка или снятие отметки owned и Tier Zero объектов, по имени или из файла с именами
`domains`, `trusts`	Количество по каждому домену и карта доверительных отношений со статусом фильтрации SID

Чтобы добавить собственный запрос, сохраните его как файл .cyp в ~/.bhshell/queries/ и запускайте по имени:

$ cat ~/.bhshell/queries/stale-admins.cyp
// description: Enabled adminCount users who have not logged on for a year
MATCH (u:User) WHERE u.admincount = true AND u.enabled = true
  AND u.lastlogontimestamp < (datetime().epochseconds - 31536000) RETURN u

[bh: shell] > query run stale-admins -o stale-admins.csv

Формат и хранение запросов в других папках (командный репозиторий, отдельная папка для каждого проекта) описаны в разделе Библиотека запросов.

Большинство команд поддерживают --json и -o FILE (JSON или CSV), а команды, выводящие списки объектов, также поддерживают --names-only или -o FILE.txt для получения простого списка имён, который можно передать другим инструментам. Вход выполняется по паролю (с MFA) или по API-токену; секреты запрашиваются в интерактивном режиме или читаются из окружения и никогда не передаются как аргументы.

Документация

Полное руководство по использованию (каждая команда, флаг представления, фильтр поиска, параметр пути, проверка hunt и настройка конфигурации) находится в docs/USAGE.md. Внутри оболочки выполните help или help <command>.

Участие в разработке

Сообщения об ошибках и pull-запросы приветствуются по адресу github.com/kr0no/bloodhound-shell/issues.

git clone https://github.com/kr0no/bloodhound-shell.git
cd bloodhound-shell
python3 -m venv .venv && . .venv/bin/activate
pip install -e '.[dev]'
pre-commit install
python -m pytest

Без сервера pytest запускает только офлайн-тесты. Остальные выполняются на экземпляре BloodHound CE, загруженном с образцами данных:

export BHSHELL_TEST_URL=http://127.0.0.1:8080 BH_USER=admin BH_PASSWORD='...'
python -m pytest -m live

Они только читают с сервера и никогда не обращаются к ~/.bhshell.

Лицензия

Распространяется под лицензией MIT. Подробности см. в LICENSE.

BloodHound является товарным знаком SpecterOps. bhshell — независимый проект, не связанный со SpecterOps и не одобренный ею.

Популярное

bloodhound-shell