一个用于 BloodHound API 的交互式命令行 shell。
一个用于 BloodHound 的交互式命令行 shell。无需打开 Web UI，即可在终端中查询 Active Directory 对象、搜寻弱点并发现攻击路径。
需要 Python 3.11+ 以及 BloodHound CE v9 服务器（已在 v9.7.1 上测试）。
pipx install bhshell # recommended
# or
pip install bhshell
$ bhshell --url http://127.0.0.1:8080
[bh: shell] > login -u admin
[+] Logged in as admin on 127.0.0.1:8080
[bh: shell] > hunt
Severity Check Count Example Description
critical dcsync 4 [email protected] Non-Tier-Zero principals with replication rights
critical adcs 95 [email protected] AD CS escalation paths (ESC*, GoldenCert)
high kerberoastable 2 [email protected] Kerberoastable users
...
[*] Details: 'hunt CHECK' (e.g. 'hunt dcsync'), or 'hunt --all'.
[bh: shell] > user PHANTOM\svc_kerb_del --all -o svc_kerb_del.csv
[bh: shell] > ou phantom.corp -t
[bh: shell] > computer DF-MS-SHS -G
[bh: shell] > gpo 'ENABLE [email protected]' -c
[bh: shell] > path --owned -g
相同的命令可以非交互方式运行以用于脚本编写：bhshell -c "hunt --json" > hunt.json。
| 命令 | 显示内容 |
|---|---|
user、computer、group、lookup | 可 Kerberoasting / 可 AS-REP roasting 的对象、委派、密码年龄、Tier Zero 和已拥有标记，以及组嵌套、入站/出站 ACL 控制、会话和本地管理员权限 |
ou | OU、容器和整个域：OU 树及其对象、Tier Zero 和已拥有计数，OU 下的每个对象，适用的 GPO（强制链接、阻止继承）以及 Tier Zero 之外可编辑它们的人员，以及谁控制该 OU；user/computer -G 显示应用于单个对象的 GPO。同名 OU 通过可分辨名称选取 |
gpo | GPO 的链接位置、其应用到的用户和计算机（考虑阻止继承和强制链接）以及 Tier Zero 之外可编辑它的人员 |
ca、template | 企业 CA 和证书模板：模板满足的 ESC 条件（包括 ESC2 和 ESC15，BloodHound 没有对应的边）、CA 的主机和设置（ESC6、ESC8），以及谁可以注册、管理（ESC7）或重写它们（ESC4） |
search | 匹配属性过滤器的对象（search -t user hasspn enabled），支持日期、时长（90d）和通配符 |
path | 到目标或到 Tier Zero 的最短路径，从所有已拥有对象出发，或通过 --via 步骤；以跳链、终端图形或用于报告的 SVG/PNG 形式输出 |
hunt | 按严重程度进行域范围检查：DCSync、Tier Zero 控制、AD CS（ESC*）、Kerberoasting、特权会话、LAPS/gMSA 读取者、属性中的密码或仍为默认值的密码（pre-Windows 2000 计算机、未使用账户、带有标准孪生账户的管理员账户）、接管原语（Shadow Credentials、RBCD）、GPO 控制、NTLM 中继、信任关系、可能的蜜罐令牌……；hunt --owned 将其限制为你的已拥有对象所能执行的操作 |
cypher、query | 原始 Cypher，以及保存的查询库：内置查询、你自己的 .cyp 文件（~/.bhshell/queries/ 或通过 config query_dirs 设置的任意文件夹）以及服务器上保存的查询 |
owned、hvt | 按名称或从名称文件标记或取消标记已拥有和 Tier Zero 对象 |
domains、trusts | 每个域的计数，以及带 SID 过滤状态的信任映射 |
要添加你自己的查询，将其保存为 ~/.bhshell/queries/ 中的 .cyp 文件并按名称运行：
$ cat ~/.bhshell/queries/stale-admins.cyp
// description: Enabled adminCount users who have not logged on for a year
MATCH (u:User) WHERE u.admincount = true AND u.enabled = true
AND u.lastlogontimestamp < (datetime().epochseconds - 31536000) RETURN u
[bh: shell] > query run stale-admins -o stale-admins.csv
有关格式以及如何将查询保存在其他文件夹中（团队仓库、每个项目一个文件夹），请参阅查询库。
大多数命令都支持 --json 和 -o FILE（JSON 或 CSV），而那些列出对象的命令还支持
--names-only 或 -o FILE.txt，用于输出一份纯名称列表，以便交给其他工具使用。登录可使用密码（外加 MFA）或
API 令牌；机密信息会以提示方式输入或从环境变量读取，绝不会作为参数传递。
完整的使用指南（每个命令、视图标志、搜索过滤器、路径选项、hunt 检查以及
配置设置）位于 docs/USAGE.md。
在 shell 内，运行 help 或 help <command>。
欢迎在 github.com/kr0no/bloodhound-shell/issues 提交缺陷报告和拉取请求。
git clone https://github.com/kr0no/bloodhound-shell.git
cd bloodhound-shell
python3 -m venv .venv && . .venv/bin/activate
pip install -e '.[dev]'
pre-commit install
python -m pytest
在没有服务器的情况下，pytest 仅运行离线测试。其余测试则针对一个加载了示例数据的 BloodHound CE 实例运行：
export BHSHELL_TEST_URL=http://127.0.0.1:8080 BH_USER=admin BH_PASSWORD='...'
python -m pytest -m live
它们只从服务器读取数据，从不触碰 ~/.bhshell。
基于 MIT 许可证分发。详情请参阅 LICENSE。
BloodHound 是 SpecterOps 的商标。bhshell 是一个独立项目，与 SpecterOps 无关联， 也未获得其认可。