Автономный анализатор путей атак для AD/Entra на основе JSON-файлов SharpHound/AzureHound. Выявляет приоритизированные находки по повышению привилегий, учётным данным и ошибкам конфигурации без использования BloodHound или Neo4j.
Открытый проект SquidSec
SquidOffense.com ·
GitHub
BloodBash — это открытый офлайн-анализатор JSON-файлов SharpHound и AzureHound, созданный и поддерживаемый SquidSec. Он строит граф, выявляет пути атак и ошибки конфигурации в AD/Entra и выводит приоритизированные находки. Neo4j или интерфейс BloodHound не требуются.
| Организация | SquidSec |
| Веб-сайт | https://squidoffense.com/ |
| Версия приложения | v1.4.2 |
| Последний бинарник |  |
| Лицензия | MIT |
| Среда выполнения (исходники) | Python 3.9+ |
При слиянии в main автоматически собираются бинарники для Linux и Windows и публикуется GitHub Release (тег v1.4.2-build.N).
BloodBash создан и поддерживается SquidSec для сообщества безопасности — red team-специалистов, пентестеров и защитников, которым нужен быстрый офлайн-анализ AD/Entra без развёртывания инфраструктуры BloodHound.
Автономные исполняемые файлы BloodBash от SquidSec — Python, pip или venv не нужны:
| Платформа | Последняя загрузка |
|---|---|
| Linux x64 | bloodbash-linux-x64 |
| Windows x64 | bloodbash-windows-x64.exe |
# Linux
curl -sL -o bloodbash \
https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-linux-x64
chmod +x bloodbash
./bloodbash /path/to/json --all
# Windows (PowerShell)
Invoke-WebRequest -Uri "https://github.com/DotNetRussell/BloodBash/releases/latest/download/bloodbash-windows-x64.exe" `
-OutFile bloodbash.exe
.\bloodbash.exe C:\path\to\json --all
pipx install git+https://github.com/DotNetRussell/BloodBash
Или из клона:
git clone https://github.com/DotNetRussell/BloodBash.git
cd BloodBash
python3 -m venv venv && source venv/bin/activate
pip install -r requirements.txt
Зависимости: networkx, rich, tqdm, pyyaml.
Начните с этих 3 (укажите на каталог SharpHound/AzureHound или .zip):
# 1) Day-0 triage - default when you pass only the data path
bloodbash /path/to/json
# same as:
bloodbash /path/to/json --quick-wins
# 2) Just owned a user - outbound compromise dossier
bloodbash ./sharpout --from-user alice --from-user-export
# 3) Full attack analysis (large env: --fast auto on big graphs)
bloodbash /path/to/json --all --fast
# inventory ladders still opt-in:
bloodbash /path/to/json --all --inventory
Из исходного каталога python3 BloodBash.py эквивалентно bloodbash.
# Binary / pipx
./bloodbash /path/to/json
bloodbash /path/to/json --from-user alice --from-user-export
# Multi-collection merge (low-priv + DA zip, multi-domain forest)
bloodbash ./lowpriv.zip --merge ./da.zip ./child-domain.zip --all --fast
Пустой каталог (без флагов проверки) запускает триаж quick-wins. Используйте --all для полного анализа путей атаки (не инвентаризации) или --wizard для интерактивного выбора.
При --all и --quick-wins пустые разделы детекторов подавляются, чтобы консоль оставалась читаемой. Выборочные флаги по-прежнему выводят зелёные строки "none found" для запрошенных проверок.
Примеры данных: SampleSharphoundADData/ и SampleAzurehoundData/.
bloodbash --help # start-here + cheat sheet
bloodbash --help-advanced # full flag tables + all examples
Больше рецептов: docs/cookbook.md.