BloodHound通过图形化关系图揭示AD中隐藏的提权路径，需用SharpHound -c All采集全量数据并确保Neo4j运行；Stormspotter可视化Azure权限错配，重点关注Contributor对KeyVault的直连；Armitage和EasyPen则分别以图形化方式快速验证弱口令与SMB空会话漏洞。
用BloodHound看AD里谁偷偷拿了管理员权限
图形化界面查权限漏洞，不是点开“属性→安全”那么简单——那是查单个文件；真要揪出域内隐藏的提权路径，得靠bloodhound这种把整个active directory关系“画出来”的工具。它不依赖人工翻日志，而是从ldap导出数据，建图后自动标出“普通用户→组→高权限组→domain admins”的跳转链。
常见错误现象：BloodHound 导入数据后一片空白，或节点全灰色——大概率是SharpHound采集时没加-CollectionMethod All，漏了ACL和Session信息；或者Neo4j没跑起来，npm start后浏览器打不开http://localhost:3000，先检查neo4j status是否显示running。
- 实操建议：采集用
.\SharpHound.ps1 -c All -d lab.local（别省-c All） - 导入后在BloodHound里点
Queries → Shortest Paths to Domain Admins，直接看到攻击路径 - 重点看带锁图标（?）的边——那是ACL权限，比如
GenericWrite到Group对象，意味着能往管理员组里加自己
Stormspotter暴露Azure里KeyVault被谁“Contributor”了
Azure权限漏洞藏得更深：一个Contributor角色表面只是“能改资源”，但对KeyVault来说，等于能读取所有密钥——图形界面比PowerShell命令更直观暴露这种错配。
使用场景：你刚给开发组分配了rtatdemo组Contributor权限，本意是让他们管虚拟机，结果Stormspotter图谱里赫然显示该组直连rtatKeyVault，而KeyVault没设RBAC白名单。
- 实操建议：启动Stormspotter后，在左上角选
Query → MATCH (g:AADGroup)-[r]->(kv:KeyVault) RETURN g.name, r.roleName, kv.name - 注意
r.roleName字段，只要出现Contributor或Owner，立刻去Azure Portal里删掉该组对该KeyVault的单独授权 - 别信“最小权限”口头承诺——Stormspotter的图谱会诚实告诉你，谁真有权限
Armitage里点几下就暴露靶机默认账户和弱口令
图形化不是为了炫技，而是把“爆破+验证”流程压缩成三步：扫端口→选模块→点执行。Armitage背后调的是Metasploit的auxiliary/scanner/系列模块，比如ssh_login或mssql_login，它们专盯默认凭据。
容易踩的坑：点了Attacks → Find Services扫完，发现ms-sql-s服务开着，但直接选mssql_login跑不起来——因为没填USERNAME和PASS_FILE，或者RHOSTS还卡在默认的127.0.0.1。
- 实操建议：右键目标主机→
Attack → mssql_login，进设置页填USERNAME为sa，PASS_FILE指向/usr/share/wordlists/fasttrack.txt - 关键参数：
BLANK_PASSWORDS设为true（很多IoT设备空口令）、USER_AS_PASS也开（用户名当密码试一遍） - 扫完看
Results标签页，绿色“SUCCESS”行里的USERNAME和PASSWORD就是真实弱点
EasyPen一键扫出Windows默认共享和空口令IPC$
局域网渗透第一步常是找IPC$、C$这类默认共享是否开着且没口令——EasyPen的Discover → Brute模块内置了smb_null_session检测，图形界面点选即跑，比手敲smbmap -H 10.1.2.5 -u "" -p ""快得多。
性能影响：它底层调用masscan快速扫活主机，再用nmap查445端口，最后发SMB协商包。如果目标开了防火墙拦截NULL session响应，界面会显示“Timeout”，不代表没漏洞，只是被拦了。
- 实操建议：目标框输
10.1.2.0/24，插件选smb_null_session，点Brute - 看到结果里
STATUS_SUCCESS或NT_STATUS_ACCESS_DENIED都算通——前者是真能进，后者说明共享存在但需密码，而TIMEOUT才可能是防火墙挡了 - 别只盯着“漏洞存在”红标，
IPC$列显示YES就值得记下来，后续可用crackmapexec smb 10.1.2.5 -u '' -p '' --shares二次确认
图形界面省的是重复操作，不是思考过程。BloodHound的图、Stormspotter的连线、Armitage的模块列表、EasyPen的结果表格——它们都在替你回答同一个问题：“这个权限到底能不能被利用”，而不是“这个配置看起来安不安全”。真要动手，还得看清楚每个箭头背后的ACL字段、每条SUCCESS记录对应的协议细节、每个TIMEOUT背后是丢包还是拒绝。
