BloodHound 分析什么
BloodHound 把目录服务中的用户、组、会话、ACL 与委派关系采集回来，导入图数据库后计算从普通账号到高权限目标的可能路径。它解决的是权限关系难以人工穷举的问题。代价是采集数据近似一份域快照，本身极具价值，必须受控存放并严格限定在授权的域范围内采集。
基本信息
| 采集内容 | 用户、组、会话、ACL、委派关系 |
|---|---|
| 采集工具 | Windows 侧 SharpHound，Linux 侧 bloodhound-python |
| 分析方式 | 导入自建实例分析，不上传公共实例 |
| 存放要求 | 加密限权目录，访问留记录 |
| 收尾 | 评估结束按合同销毁或按约定移交给客户 |
典型使用场景
- 权限路径核实：确认普通账号是否存在通往高权限组的可达链路
- 会话分析：找出高权限会话集中登录的终端与服务器
- 委派与 ACL 复核：为委派与对象权限类问题提供证据支持
- 靶向加固建议：按路径断点给出可操作的收敛建议
- 复测对比：修复后重新采集，确认原有路径已被切断
采集示例
采集示例
# Linux 侧采集，指定域与 DNS，输出到独立目录
bloodhound-python -u audit -p REDACTED -d example.com -ns 10.0.10.10 -c All -o bh-data/
# 确认采集产物齐全（zip 或 json 集合）
ls -l bh-data/
# 导入自建实例后只看目标路径分析，导出截图前脱敏账号信息
# 采集结束按合同约定销毁或移交本地数据目录输出逐列读法
| 输出内容 | 含义 | 使用注意 |
|---|---|---|
| 采集产物文件 | 各类型对象的 JSON 集合 | 核对是否包含全部类别 |
| 节点属性 | 对象的高权限标志与会话状态 | 注意未标注的隐含权限 |
| 边与关系 | 权限、会话与委派关系 | 据边类型判断路径是否可利用 |
| 路径分析结果 | 起点到终点的可达链路 | 逐跳人工核实后再写入报告 |
采集结果包含域内大量敏感结构信息：存放环境加密、限权，访问留记录，绝不上传第三方分析实例。
采集范围超出授权域会产生越界风险：先确认信任关系与可达域，只采集明确授权的域，跨域部分另行申请。