BloodHound ile Saldırı Yolu Analizi

ATT&CK T1087.002 metodoloji

ATT&CK T1087.002 metodoloji

BloodHound, AD nesneleri arasındaki ilişkileri (üyelik, ACL, oturum, delegasyon) bir grafik olarak modelleyip saldırgan bakışıyla en kısa yolu gösterir. “Elimdeki bu kullanıcıdan Domain Admin’e nasıl giderim?” sorusunu görselleştirir. Ham LDAP dump’ı okumak yerine kenarları somut saldırılara çevirmek asıl değeridir.

Mimari (kısa)

• Collector — SharpHound (Windows) veya bloodhound-python / NetExec LDAP modülü; JSON/ZIP üretir.
• Graph DB — BloodHound CE (PostgreSQL + UI) veya klasik Neo4j UI.
• Analiz — Cypher / hazır sorgular; Owned → high-value yolları.

Veri toplama

Collection metodları

Flag	Ne toplar	Not
All	DC + session + local group + ACL…	En dolu; gürültülü
DCOnly	Yalnızca LDAP (DC)	Sessiz; session yok
Session / LoggedOn	Kim nerede oturum açmış	Foothold + loop
Group / ACL / Trusts	Hedefli	Yeniden tarama
ObjectProps	Delegation, SPN, LAPS props	Privesc için kritik
Container	OU/GPO bağlantıları	GPO abuse yolları

SharpHound.exe -c All --zipfilename loot

SharpHound.exe -c DCOnly --zipfilename stealth

SharpHound.exe -c Session,LoggedOn --Loop --LoopDuration 01:00:00 --LoopInterval 00:05:00

SharpHound.exe -d domain.local -c All --ldapusername user --ldappassword 'Pass123'

SharpHound.exe -c All --ExcludeDCs          # DC'lere session sorgusu atma (opsec)

SharpHound.exe -c All --throttle 1000 --jitter 20

bloodhound-python -d domain.local -u user -p 'Pass123' -ns 10.10.10.5 -c All --zip

bloodhound-python -d domain.local -u user -p 'Pass123' -ns 10.10.10.5 -c DCOnly,ObjectProps,ACL --zip

bloodhound-python -d domain.local -u user -hashes :NTHASH -ns 10.10.10.5 -c All --zip

bloodhound-python -d domain.local -u user -p 'Pass123' -dc dc01.domain.local -c All --dns-tcp --zip

nxc ldap 10.10.10.5 -u user -p 'Pass123' --bloodhound -c All --dns-server 10.10.10.5

nxc ldap 10.10.10.5 -u user -H :NTHASH --bloodhound -c DCOnly --dns-server 10.10.10.5

Note

OpsecAll + session enumeration binlerce SMB/NetWkstaUserEnum çağrısı üretir. İlk turda DCOnly + ObjectProps + ACL ile yol bul; session’ı foothold üzerinden loop ile tamamla. –ExcludeDCs DC gürültüsünü azaltır.

Analiz metodolojisi

1. İçe aktar — ZIP’i BloodHound CE’ye yükle; ingest bitene kadar bekle.

2. High-value işaretle — Domain Admins, Enterprise Admins, DC’ler, Tier-0 sunucular, CA, backup sunucuları varsayılan olarak kritik.

3. Owned işaretle — ele geçirdiğin her kullanıcı, grup, bilgisayar. Pathfinding Owned’dan başlar.

4. Hazır sorguları çalıştır (CE / klasik): Shortest Paths to Domain Admins

5. Shortest Paths from Owned Principals

6. Find Principals with DCSync Rights

7. Kerberoastable Users / AS-REP Roastable Users

8. Computers with Unconstrained Delegation

9. Shortest Paths to Unconstrained Delegation Systems

10. Users with Foreign Domain Group Membership

11. Kenarı tekniğe çevir — grafikteki her edge bir sayfaya map edilir (aşağıdaki tablo).

12. Yolu doğrula — BH bazen stale session / yanlış ACL gösterebilir; PowerView veya bloodyAD get objectacl ile teyit et, sonra exploit.

Kenar → saldırı eşlemesi

BloodHound edge	Anlam	Teknik
MemberOf	Grup üyeliği	Hakların kalıtımı
AdminTo	Yerel admin	PtH / exec / LSASS
HasSession	Oturum açık	LSASS dump → credential
CanRDP / CanPSRemote	RDP / WinRM	Lateral
ForceChangePassword	Parola sıfırla	ACL Abuse
AddMember	Gruba ekle	DA/IT grupları
GenericAll	Tam kontrol	parola, SPN, RBCD, shadow
GenericWrite	Özellik yaz	targeted Kerberoast, RBCD, shadow
WriteDacl	ACL yaz	kendine GenericAll / DCSync
WriteOwner	Sahip ol	ardından WriteDacl
Owns	Owner	WriteDacl zinciri
AllExtendedRights	Geniş haklar	ForceChangePassword vb.
DCSync / GetChanges*	Replikasyon	DCSync
AllowedToDelegate	Constrained del.	Delegation
AllowedToAct	RBCD	RBCD
AddKeyCredentialLink	Shadow creds	Shadow Credentials
ReadLAPSPassword	LAPS oku	GPP & LAPS
ReadGMSAPassword	gMSA blob	gMSA decrypt
AddAllowedToAct	RBCD yaz	RBCD kur
GPLink + Write on GPO	GPO yaz	GPO Abuse
SyncLAPSPassword	LAPS sync hakkı	LAPS okuma

Örnek Cypher (Neo4j / klasik BH)

// Owned'dan Domain Admins'e en kısa yollar
MATCH p=shortestPath((n)-[*1..]->(m:Group))
WHERE n.owned=true AND m.objectid ENDS WITH '-512'
RETURN p

// GenericAll / WriteDacl tutan low-priv → yüksek değer
MATCH (n)-[r:GenericAll|WriteDacl|GenericWrite|Owns]->(m)
WHERE NOT n.name CONTAINS 'ADMIN'
RETURN n.name, type(r), m.name LIMIT 50

// Unconstrained delegation bilgisayarları
MATCH (c:Computer {unconstraineddelegation:true}) RETURN c.name

Komut üreteci

⚡

BloodHound · collector

embedded tool

DomainUserPasswordDC / NS IP

Generated commandcopy

bloodhound-python -d domain.local -u lowpriv -p Pass123 -c All -ns 10.10.10.5

BloodHound · collector

Saldırı zinciri örnekleri

Owned: bob
  → MemberOf HelpDesk
  → ForceChangePassword on jim
  → jim HasSession on FILE01
  → AdminTo on FILE01 (jim local admin)
  → dump LSASS → DA hash
  → DCSync

Owned: svc_web (Kerberoast kırıldı)
  → AllowedToDelegate → cifs/SQL01
  → S4U impersonate Administrator
  → SQL01 SYSTEM → pivot

Yaygın tuzaklar

• Owned işaretlemeyi unutmak — pathfinding boş kalır.
• Eski SharpHound + yeni CE şema uyumsuzluğu → collector sürümünü eşleştir.
• Yalnızca DCOnly ile DA yolu “yok” sanmak; session kenarı olmadan yol görünmeyebilir — foothold sonrası loop şart.
• adminCount=1 kullanıcılar AdminSDHolder korumalı; ACL kenarı “yazılabilir” görünse de SDProp geri alabilir — yine de AdminSDHolder persistence için bak.
• DNS çözülemezse Python collector eksik bilgisayar bırakır ( -ns , –dns-tcp ).

Sonraki adımlar

BloodHound bir keşif/planlama aracıdır; her kenarı ilgili teknik sayfasıyla eşleştirip uygula: ACL Abuse, RBCD, Shadow Credentials, Unconstrained Delegation, GPO Abuse.