# Exploiting Active Directory With Bloodhound

> BloodHound 是基于图论的活动目录侦察工具，使用图论揭示 AD 环境中隐藏的和意外的关系。红队使用 BloodHound 识别从已控制账户到域管理员等高价值目标的攻击路径。

- Skill: `killvxk/exploiting-active-directory-with-bloodhound` (Agent Skill, multi-file: 8 files)
- Install (CLI): `npx skillmds@latest add killvxk/exploiting-active-directory-with-bloodhound`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/exploiting-active-directory-with-bloodhound/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/exploiting-active-directory-with-bloodhound

---

# 使用 BloodHound 利用活动目录漏洞

## 概述

BloodHound 是基于图论的活动目录侦察工具，使用图论揭示 AD 环境中隐藏的和意外的关系。红队使用 BloodHound 识别从已控制账户到域管理员等高价值目标的攻击路径，发现几乎无法手动找到的权限提升链。SharpHound 是官方数据收集器，收集 AD 对象、关系、ACL、会话和组成员关系。

## 目标

- 使用 SharpHound 或 BloodHound.py 收集活动目录关系数据
- 可视化从已控制账户到域管理员的攻击路径
- 识别错误配置的 ACL、组成员关系和委派设置
- 发现到高价值目标的最短攻击路径
- 映射 Kerberos 委派配置以便滥用
- 记录所有已识别的权限提升链

## MITRE ATT&CK 映射

- **T1087.002** - 账户发现：域账户
- **T1069.002** - 权限组发现：域组
- **T1482** - 域信任发现
- **T1615** - 组策略发现
- **T1018** - 远程系统发现
- **T1033** - 系统所有者/用户发现
- **T1016** - 系统网络配置发现

## 实施步骤

### 阶段一：使用 SharpHound 收集数据
1. 将 SharpHound 收集器传输到已控制的主机
2. 使用适当的方法执行收集（All、DCOnly、Session、LoggedOn）
3. 在多域环境中从所有可达域收集
4. 将 ZIP 数据文件导出到分析工作站
5. 将数据导入 BloodHound CE 或传统版

### 阶段二：攻击路径分析
1. 标记已控制的主体（已控制账户）
2. 查询到域管理员的最短路径
3. 识别具有管理员权限的 Kerberoastable 账户
4. 查找 AS-REP Roastable 账户
5. 分析基于 ACL 的攻击路径（GenericAll、GenericWrite、WriteDACL、ForceChangePassword）
6. 审查 GPO 滥用机会

### 阶段三：利用规划
1. 按复杂性和隐蔽性对攻击路径进行优先级排序
2. 识别攻击链中每个步骤所需的工具
3. 为每种技术规划 OPSEC 注意事项
4. 执行已识别的攻击链
5. 在每个步骤记录证据

## 工具与资源

| 工具 | 用途 | 平台 |
|------|---------|----------|
| BloodHound CE | 图可视化和分析 | 基于 Web |
| SharpHound | AD 数据收集（.NET） | Windows |
| BloodHound.py | AD 数据收集（Python） | Linux/Windows |
| Cypher 查询 | 自定义图查询 | Neo4j/BloodHound |
| PlumHound | 自动化 BloodHound 报告 | Python |
| Max（BloodHound） | BloodHound 自动化 | Python |

## 关键 BloodHound 查询

| 查询 | 用途 |
|-------|---------|
| 到域管理员的最短路径 | 查找到 DA 的最快路线 |
| 查找具有到 DA 路径的 Kerberoastable 用户 | 通向 DA 的 SPN 账户 |
| 查找 AS-REP Roastable 用户 | 没有预认证的账户 |
| 从已控制主体的最短路径 | 从已控制账户的路径 |
| 查找具有不受支持操作系统的计算机 | 供利用的旧系统 |
| 查找具有 DCSync 权限的用户 | 可以复制 AD 的账户 |
| 查找修改本地组成员资格的 GPO | 基于 GPO 的权限提升 |

## 验证标准

- [ ] 已从所有域收集 SharpHound 数据
- [ ] 已识别从已控制账户到 DA 的攻击路径
- [ ] 已记录基于 ACL 的攻击路径
- [ ] 已识别 Kerberoastable 和 AS-REP Roastable 账户
- [ ] 已创建包含优先路径的利用计划
- [ ] 已捕获证据截图用于报告