BloodHound 치트 시트

개요

BloodHound는 그래프 이론을 사용하여 Active Directory (AD) 환경 내의 숨겨진 관계를 드러내는 오픈 소스 도구입니다. 이 도구는 보안 전문가가 수동으로는 발견하기 어려운 복잡한 공격 경로를 식별하는 데 도움을 줍니다. BloodHound는 두 가지 주요 구성 요소로 이루어져 있습니다:

# Download Neo4j from https://neo4j.com/download/
# Extract the ZIP file
# Open command prompt as administrator
cd C:\path\to\neo4j\bin
neo4j.bat install-service
neo4j.bat start
```**SharpHound**: Active Directory에서 정보를 수집하는 데이터 수집기```powershell
# Download BloodHound from https://github.com/BloodHoundAD/BloodHound/releases
# Extract the ZIP file
# Run BloodHound.exe
```**BloodHound GUI**: 수집된 데이터를 시각화하고 분석하는 그래픽 인터페이스

Would you like me to continue with the rest of the translation? I can proceed section by section if you'd like to review and confirm each part.```bash
sudo apt update
sudo apt install bloodhound neo4j

# Start Neo4j service
sudo neo4j start

# Launch BloodHound
bloodhound

macOS

# Install Homebrew if not already installed
/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

# Install Neo4j and BloodHound
brew install neo4j bloodhound

# Start Neo4j service
brew services start neo4j

# Launch BloodHound
bloodhound

BloodHound Community Edition (Docker)

# Install BloodHound CLI
curl -L https://github.com/SpecterOps/BloodHound/releases/latest/download/bloodhound-cli-linux-amd64 -o bloodhound-cli
chmod +x bloodhound-cli
sudo mv bloodhound-cli /usr/local/bin/

# Deploy BloodHound CE
bloodhound-cli deploy

Data Collection

SharpHound (Windows Executable)

Basic Collection

# Download SharpHound
Invoke-WebRequest -Uri https://github.com/BloodHoundAD/SharpHound/releases/latest/download/SharpHound.exe -OutFile SharpHound.exe

# Run SharpHound with default collection methods
.\SharpHound.exe --CollectionMethods All

Collection Methods

메서드	설명
`All`	모든 데이터 수집
`Group`	그룹 멤버십 정보 수집
`LocalGroup`	로컬 관리자 정보 수집
`GPOLocalGroup`	GPO를 통해 로컬 관리자 정보 수집
`Session`	세션 정보 수집
`LoggedOn`	로그온한 사용자 정보 수집
`Trusts`	도메인 트러스트 정보 수집
`ACL`	ACL 정보 수집
`Container`	컨테이너 정보 수집
`RDP`	원격 데스크톱 사용자 정보 수집
`ObjectProps`	객체 속성 수집
`DCOM`	DCOM 정보 수집
`SPNTargets`	서비스 주체 이름 정보 수집
`PSRemote`	PowerShell 원격 정보 수집

Advanced Collection Options

# Collect specific data types
.\SharpHound.exe --CollectionMethods Group,LocalGroup,Session,ACL

# Collect data with stealth options (slower but less noisy)
.\SharpHound.exe --CollectionMethods All --Stealth

# Collect data from specific domain
.\SharpHound.exe --CollectionMethods All --Domain example.com

# Collect data with LDAP filtering
.\SharpHound.exe --CollectionMethods All --LdapFilter "(objectClass=user)"

# Collect data from specific OU
.\SharpHound.exe --CollectionMethods All --SearchBase "OU=Servers,DC=example,DC=com"

# Collect data with specific naming context
.\SharpHound.exe --CollectionMethods All --DomainController dc01.example.com

SharpHound PowerShell Module

Basic Collection

# Import SharpHound module
Import-Module .\SharpHound.ps1

# Run SharpHound with default collection methods
Invoke-BloodHound -CollectionMethod All

Advanced Collection Options

# Collect specific data types
Invoke-BloodHound -CollectionMethod Group,LocalGroup,Session,ACL

# Collect data with stealth options
Invoke-BloodHound -CollectionMethod All -Stealth

# Collect data from specific domain
Invoke-BloodHound -CollectionMethod All -Domain example.com

# Collect data with LDAP filtering
Invoke-BloodHound -CollectionMethod All -LdapFilter "(objectClass=user)"

# Collect data from specific OU
Invoke-BloodHound -CollectionMethod All -SearchBase "OU=Servers,DC=example,DC=com"

BloodHound.py (Linux/macOS)

Installation

pip install bloodhound

Basic Collection

bloodhound-python -u username -p password -d domain.local -ns 10.10.10.10 -c All

Advanced Collection Options

# Collect specific data types
bloodhound-python -u username -p password -d domain.local -ns 10.10.10.10 -c Group,LocalAdmin,Session,ACL

# Collect data with Kerberos authentication
bloodhound-python -u username -p password -d domain.local -ns 10.10.10.10 -c All --kerberos

# Collect data with specific domain controller
bloodhound-python -u username -p password -d domain.local -ns 10.10.10.10 -c All --dns-tcp

# Collect data with LDAP SSL
bloodhound-python -u username -p password -d domain.local -ns 10.10.10.10 -c All --secure

AzureHound (Azure AD)

Installation

# Download AzureHound
Invoke-WebRequest -Uri https://github.com/BloodHoundAD/AzureHound/releases/latest/download/azurehound-windows-amd64.zip -OutFile azurehound.zip
Expand-Archive -Path azurehound.zip -DestinationPath .

Basic Collection

# Authenticate to Azure
Connect-AzAccount

# Run AzureHound
.\azurehound.exe -o azure_data.zip

Using BloodHound

Neo4j Database Connection

Default URL: bolt://localhost:7687
Default credentials: neo4j/neo4j (first login requires password change)

Data Import

Launch BloodHound
Connect to Neo4j database
Drag and drop the ZIP file containing SharpHound data
Wait for import to complete

Pre-Built Queries

BloodHound comes with several pre-built queries accessible from the “Queries” tab:

Finding Privileged Users

Find all Domain Admins
Find all Enterprise Admins
Find Shortest Paths to Domain Admins
Find Shortest Paths to High Value Targets

Finding Attack Paths

Find Shortest Paths to Domain Admins
Find Shortest Paths to High Value Targets
Find Shortest Paths to Unconstrained Delegation Systems

Finding Vulnerable Configurations

Find Kerberoastable Users
Find AS-REP Roastable Users
Find Computers with Unconstrained Delegation
Find Computers with Constrained Delegation
Find Domain Trusts

Custom Cypher Queries

Find Shortest Paths to Domain Admins

MATCH (n:User),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=shortestPath((n)-[*1..]->(m)) RETURN p

Find Kerberoastable Users with Path to Domain Admins

MATCH (n:User \\\\{hasspn:true\\\\}),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=shortestPath((n)-[*1..]->(m)) RETURN p

Find Computers with Local Admin Rights

MATCH (u:User),(c:Computer),p=(u)-[:AdminTo]->(c) RETURN p

Find Users with DCSync Rights

MATCH (u:User),(d:Domain),p=(u)-[:DCSync]->(d) RETURN p

Find Computers with Constrained Delegation

MATCH (c:Computer \\\\{trustedtoauth:true\\\\}) RETURN c
```#### 특정 사용자로부터 공격 경로 찾기
```cypher
MATCH (n:User \\\\{name:'USER@DOMAIN.LOCAL'\\\\}),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=shortestPath((n)-[*1..]->(m)) RETURN p
```#### 고가치 대상으로 가는 경로가 있는 모든 사용자 찾기
```cypher
MATCH (u:User),(g:Group),p=shortestPath((u)-[*1..]->(g)) WHERE g.highvalue=true RETURN p
```#### 도메인 사용자가 로컬 관리자 권한을 가진 컴퓨터 찾기
```cypher
MATCH (g:Group \\\\{name:'DOMAIN USERS@DOMAIN.LOCAL'\\\\}),(c:Computer),p=(g)-[:AdminTo]->(c) RETURN p
```#### RDP 권한이 있는 컴퓨터 찾기
```cypher
MATCH (u:User),(c:Computer),p=(u)-[:CanRDP]->(c) RETURN p
```#### 비밀번호 만료되지 않는 사용자 찾기
```cypher
MATCH (u:User \\\\{pwdneverexpires:true\\\\}) RETURN u
```## 공격 기법

### Kerberoasting
SPN을 가진 서비스 계정을 대상으로 오프라인 크래킹을 위한 서비스 티켓 해시를 추출합니다.

#### Kerberoasting 가능한 사용자 찾기
```cypher
MATCH (u:User \\\\{hasspn:true\\\\}) RETURN u
```#### 도메인 관리자에게 경로가 있는 Kerberoasting 가능한 사용자 찾기
```cypher
MATCH (n:User \\\\{hasspn:true\\\\}),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=shortestPath((n)-[*1..]->(m)) RETURN p
```### AS-REP Roasting
"Kerberos 사전 인증 필요 없음" 설정이 활성화된 사용자 계정을 대상으로 합니다.

#### AS-REP Roasting 가능한 사용자 찾기
```cypher
MATCH (u:User \\\\{dontreqpreauth:true\\\\}) RETURN u
```#### WriteDacl 권한 찾기
```cypher
MATCH (n:User),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=(n)-[:WriteDacl]->(m) RETURN p
```#### GenericAll 권한 찾기
```cypher
MATCH (n:User),(m:Group \\\\{name:'DOMAIN ADMINS@DOMAIN.LOCAL'\\\\}),p=(n)-[:GenericAll]->(m) RETURN p
```### 제한 없는 위임
제한 없는 위임을 가진 컴퓨터를 악용하여 사용자 티켓을 훔칩니다.

#### 제한 없는 위임이 있는 컴퓨터 찾기
```cypher
MATCH (c:Computer \\\\{unconstraineddelegation:true\\\\}) RETURN c
```### 제한된 위임
특정 서비스에 사용자를 가장하기 위해 잘못 구성된 제한된 위임을 악용합니다.

#### 제한된 위임이 있는 컴퓨터 찾기
```cypher
MATCH (c:Computer \\\\{trustedtoauth:true\\\\}) RETURN c
```### 리소스 기반 제한된 위임
리소스에 대한 액세스 권한을 얻기 위해 잘못 구성된 리소스 기반 제한된 위임을 악용합니다.

#### 리소스 기반 제한된 위임이 있는 컴퓨터 찾기
```cypher
MATCH (c:Computer)-[:AllowedToAct]->(t:Computer) RETURN c,t
```### DCSync
복제 권한을 악용하여 도메인 컨트롤러 동기화를 수행하고 비밀번호 해시를 추출합니다.

#### DCSync 권한이 있는 사용자 찾기
```cypher
MATCH (u:User),(d:Domain),p=(u)-[:DCSync]->(d) RETURN p
```## BloodHound 에지 유형

| 엣지 타입 | 설명 |
|-----------|-------------|
| MemberOf | 사용자/그룹은 그룹의 구성원입니다 |
| AdminTo | 사용자/그룹이 컴퓨터에 로컬 관리자 권한을 가지고 있습니다 |
| HasSession | 사용자가 컴퓨터에 세션을 가지고 있습니다 |
| CanRDP | 사용자는 컴퓨터에 RDP로 접속할 수 있습니다 |
| ExecuteDCOM | 사용자는 컴퓨터에서 DCOM을 실행할 수 있습니다 |
| AllowedToDelegate | 컴퓨터는 서비스에 위임할 수 있습니다 |
| AddAllowedToAct | 컴퓨터는 다른 주체를 대신하여 행동할 수 있습니다 |
| AllowedToAct | 주체는 다른 주체를 대신하여 행동할 수 있습니다 |
| Contains | OU/Container에 객체가 포함되어 있습니다 |
| GpLink | GPO는 OU/도메인/사이트에 연결되어 있습니다 |
| HasSIDHistory | 개체가 다른 개체의 SID 기록을 가지고 있습니다 |
| TrustedBy | 도메인이 다른 도메인에 의해 신뢰됩니다 |
| DCSync | 사용자는 DCSync 작업을 수행할 권한이 있습니다 |
| GenericAll | 사용자가 객체에 대한 완전한 제어권을 가집니다 |
| GenericWrite | 사용자는 객체의 특정 속성에 쓸 수 있습니다 |
| WriteDacl | 사용자는 객체의 보안 설명자를 수정할 수 있습니다 |
| WriteOwner | 사용자는 객체의 소유권을 가질 수 있습니다 |
| AddMember | 사용자는 그룹에 멤버를 추가할 수 있습니다 |
| ForceChangePassword | 사용자는 다른 사용자의 비밀번호를 변경할 수 있습니다 |- 노이즈를 줄이기 위해 `[parameter]` 사용
- 네트워크 활동이 많은 업무 시간 동안 데이터 수집
- 한 번에 모든 데이터를 수집하지 않고 시간에 따라 수집 분산
- LDAP 필터링을 사용하여 수집 범위 제한
- 민감한 환경에서는 SharpHound 대신 BloodHound.py 사용 고려
`--Stealth``Clear-History`
`Clear-History``Remove-Module SharpHound`
`Remove-Module SharpHound`- Neo4j 서비스가 실행 중인지 확인: `net start neo4j` 또는 `systemctl start neo4j`

Would you like me to continue with the remaining empty entries?`neo4j.bat status` or `systemctl status neo4j`
- bolt URL이 올바르게 사용되고 있는지 확인 (기본값: bolt://localhost:7687)
- 자격 증명 확인 (기본값: neo4j/neo4j)
- 다른 프로세스가 7687 포트를 사용하고 있는지 확인

#### SharpHound 수집 문제
- 충분한 권한이 있는지 확인 (최소 도메인 사용자)
- 상승된 권한으로 실행해 보기
- 도메인 컨트롤러에 대한 네트워크 연결 확인
- LDAP/LDAPS 연결 확인
- 도메인 컨트롤러 지정 시도
`--DomainController`

#### 데이터 가져오기 문제
- ZIP 파일에 유효한 JSON 파일이 포함되어 있는지 확인
- Neo4j 데이터베이스에 충분한 디스크 공간이 있는지 확인
- 가져오기 전 데이터베이스 지우기 시도:
`MATCH (n) DETACH DELETE n`
- ZIP 파일이 손상되지 않았는지 확인

## 리소스
- [BloodHound 문서](https://bloodhound.readthedocs.io/)
- [BloodHound GitHub 저장소](https://github.com/BloodHoundAD/BloodHound)
- [SharpHound GitHub 저장소](https://github.com/BloodHoundAD/SharpHound)
- [BloodHound 커뮤니티 에디션](https://bloodhound.specterops.io/)
- [SpecterOps 블로그](https://posts.specterops.io/)
- [Cypher 쿼리 언어 참조](https://neo4j.com/docs/cypher-manual/current/)