https://github.com/BloodHoundAD/BloodHound
安装教程

1、下载

https://neo4j.com/download-center/#community
这里我使用3.5.25 怕java版本太低，导致出错
image.png

2、bin 目录下启动

image.png
neo4j 为默认账号密码,修改默认密码，不修改密码等会bloodhound会提示报错
127.0.0.1:7474
image.png

3、打开Bloodhound，登录成功，输入neoj4刚刚设置的账号密码

image.png

4、采集数据

使用ps1.或者exe运行采集数据
SharpHound.zip
image.png
SharpHound.exe -c all
在没有域环境的状态下它是用不了的
image.png**
在域内使用它，注意它需要.net环境
image.png

如果成功运行后，会生成zip文件
image.png

5、上传数据

点击下图所示的上传后，可以清楚的看到，直接显示了域的拓扑图，本次的上传压缩包为一台普通的域用户PC，可以快速的定位内网的情况
image.png

主要功能为如下语句

image.png

  1. 1、Find all domain administrators                                        查找所有管理员
  2. 2、Find Shortest Paths to Domain Admins                                               寻找到达管理员的最短路径
  3. 3、Find Principals with DCSync Rights                                                     查找具有DCSync权限的主体
  4. 4、Users with Foreign Domain Group Membership                                    具有外部域组成员资格的用户
  5. 5、Groups with Foreign Domain Group Membership                                    具有外部域组成员身份的组
  6. 6、Map Domain Trusts                                                                                        映射域信任
  7. 7、Shortest Paths to Unconstrained Delegation Systems                    无约束委托系统的最短路径
  8. 8、Shortest Paths from Kerberoastable Users                                         Kerberosatable用户的最短路径
  9. 9、Shortest Paths to Domain Admins from Kerberoastable Users        Kerberoastable用户到域管理员的最短路径
  10. 10、Shortest Path from Owned Principals                                                 从拥有的主体的最短路径
  11. 11、Shortest Paths to Domain Admins from Owned Principals             从拥有的主体到域管理员的最短路径
  12. 12、Shortest Paths to High Value Targets                                                通往高价值目标的最短路径
  13. 13、Find Computers where Domain Users are Local Admin                    查找域用户为本地管理员的计算机
  14. 14、Shortest Paths from Domain Users to High Value Targets            从域用户到高价值目标的最短路径
  15. 15、Find All Paths from Domain Users to High Value Targets            查找从域用户到高价值目标的所有路径
  16. 16、Find Workstations where Domain Users can RDP                                查找域用户可以RDP的工作站
  17. 17、Find Servers where Domain Users can RDP                                        查找域用户可以RDP的服务器
  18. 18、Find Dangerous Rights for Domain Users Groups                            查找域用户组的危险权限
  19. 19、Find Kerberoastable Members of High Value Groups                        寻找高价值群体中的Kerberosatable成员
  20. 20、List all Kerberoastable Accounts                                                 列出所有Kerberostable帐户 
  21. 21、Find Kerberoastable Users with most privileges                     查找拥有最多权限的Kerberostable用户
  22. 22、Find Domain Admin Logons to non-Domain Controllers             查找到非域控制器的域管理员登录
  23. 23、Find Computers with Unsupported Operating Systems                 查找具有不受支持的操作系统的计算机
  24. 24、Find AS-REP Roastable Users (DontReqPreAuth)                         查找AS-REP可烘焙用户（DontReqPreAuth）

剩下的东西，这篇文章我觉得是讲的不错的！
https://www.cnblogs.com/mrhonest/p/13424798.html