# 一、概述

在针对 Microsoft Entra ID（原 Azure AD）的攻防场景中，攻击者获取初始立足点后，往往需要快速识别从当前已控制对象到达高价值目标（如全局管理员、特权角色、关键订阅与资源）的最短攻击路径。本文主要介绍如何利用 Cypher 查询语句枚举高级别权限角色成员、绘制到达高价值目标的最短访问路径，并提供一组进阶查询语法供读者参考。

# 二、查找高价值目标攻击路径

## （一）查找并列出所有具有高级别权限角色的成员信息

在 BloodHound 界面的 `Raw Query` 模块中输入如下 Cypher 查询语句，即可查找并列出所有具有高级别权限角色的成员信息，执行结果如图 1-1 所示。

```cypher
MATCH p=(n)-[:AZHasRole|AZMemberOf*1..2]->(r:AZRole) WHERE r.displayname =~ '(?i)Global Administrator|User Administrator|Cloud Application Administrator|Authentication Policy Administrator|Exchange Administrator|Helpdesk Administrator|PRIVILEGED AUTHENTICATION ADMINISTRATOR|Domain Name Administrator|Hybrid Identity Administrator|External Identity Provider Administrator|Privileged Role Administrator|Partner Tier2 Support|Application Administrator|Directory Synchronization Accounts' RETURN p
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/cbfa76f30b1457d9814862eb746a84a4.png)

图1-1 查找并列出所有具有高级别权限角色的成员信息

## （二）查找到达具有高级别权限角色的最短访问路径

在 BloodHound 界面的 `Raw Query` 模块中输入如下 Cypher 查询语句，即可查找到达具有高级别权限角色的最短访问路径，执行结果如图 1-2 所示。

```cypher
MATCH (n:AZRole WHERE n.displayname =~ '(?i)Global Administrator|User Administrator|Cloud Application Administrator|Authentication Policy Administrator|Exchange Administrator|Helpdesk Administrator|PRIVILEGED AUTHENTICATION ADMINISTRATOR'), (m), p=shortestPath((m)-[r*1..]->(n)) WHERE NOT m=n RETURN p
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/bfad406de34569ea931cd1e0d9960a2a.png)

图1-2 查找到达具有高级别权限角色的最短访问路径

## （三）从已拥有的对象识别查找到高价值目标的最短路径

在 BloodHound 界面的 `Raw Query` 模块中输入如下 Cypher 查询语句，即可从已拥有的对象识别并查找到高价值目标的最短路径，执行结果如图 1-3 所示。

```cypher
MATCH p=shortestPath((g {owned:true})-[*1..]->(n {highvalue:true})) WHERE  g<>n return p
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/d7eeded5e5313f721fca31190e7b54cc.png)

图1-3 从已拥有的对象识别查找到高价值目标的最短路径

## （四）高价值目标攻击路径进阶查询语法

除上述基础查询外，使用 BloodHound 查找“高价值目标攻击路径信息”还可借助一组进阶查询语法，其对应的功能描述如表 1-1 所示，读者可结合实际场景自行参考使用。

表1-1 “高价值目标攻击路径信息”进阶查询语法

|查询语法|功能描述|
| ----------| -------------------------------------------------------------------------------|
|​`MATCH (m:AZUser),(n {highvalue:true}),p=shortestPath((m)-[r*1..]->(n)) WHERE NONE (r IN relationships(p) WHERE type(r)= "GetChanges") AND NONE (r in relationships(p) WHERE type(r)="GetChangesAll") AND NOT m=n RETURN p`|查找具有高价值目标路径的所有Azure用户|
|​`MATCH (m:AZUser WHERE m.onpremisesyncenabled = true),(n {highvalue:true}),p=shortestPath((m)-[r*1..]->(n)) WHERE NONE (r IN relationships(p) WHERE type(r)= "GetChanges") AND NONE (r in relationships(p) WHERE type(r)="GetChangesAll") AND NOT m=n RETURN p`|查找具有高价值目标路径的OnPrem同步用户|
|​`MATCH (m:AZApp),(n {highvalue:true}),p=shortestPath((m)-[r*1..]->(n)) WHERE NONE (r IN relationships(p) WHERE type(r)= "GetChanges") AND NONE (r in relationships(p) WHERE type(r)="GetChangesAll") AND NOT m=n RETURN p`|查找具有高价值目标路径的Azure应用程序|
|​`MATCH (n:AZUser) WITH n MATCH p = shortestPath((n)-[r*1..]->(g:AZSubscription)) RETURN p`|查找从Azure用户到订阅的最短路径|
|​`MATCH p = (n)-[r]->(g:AZVM) RETURN p`|查找Azure VM的所有路径|
|​`MATCH (n:AZVM) MATCH p = shortestPath((m:AZUser{owned: true})-[*..]->(n)) RETURN p`|查找从拥有的Azure用户到VM的最短路径|
|​`MATCH p = (n)-[r]->(g:AZKeyVault) RETURN p`|查找Azure KeyVaults的所有路径|
|​`MATCH p = ({owned: true})-[r]->(g:AZKeyVault) RETURN p`|查找从拥有的主体到Azure keyvault的所有路径|
|​`MATCH (n:AZSubscription), (m), p=shortestPath((m)-[r*1..]->(n)) WHERE NOT m=n RETURN p`|查找Azure订阅的最短路径|
|​`MATCH p=(u:AZUser)-[:AZUserAccessAdministrator]->(target) WHERE NOT EXISTS((u)-[:AZMemberOf\|AZHasRole*1..]->(:AZRole)) RETURN u, p`|查找来自不具有Azure角色但具有RBAC角色的Azure用户的资源路径 “用户访问管理员”|
|​`MATCH p=(u)-[:AZUserAccessAdministrator]->(target) WHERE NOT EXISTS((u)-[:AZMemberOf\|AZHasRole*1..]->(:AZRole)) RETURN u, p`|查找来自不具有Azure角色但具有RBAC \ "用户访问管理员"的Azure主体的资源的路径|


在针对 Microsoft Entra ID（原 Azure AD）的攻防场景中，攻击者获取初始立足点后，往往需要快速识别从当前已控制对象到达高价值目标（如全局管理员、特权角色、关键订阅与资源）的最短攻击路径。本文主要介绍如何利用 Cypher 查询语句枚举高级别权限角色成员、绘制到达高价值目标的最短访问路径，并提供一组进阶查询语法供读者参考。

AD域攻防权威指南:四十.使用AzureHound对Microsoft Entra ID进行查找高价值目标攻击路径

技术经理

安全

云计算

开发工具

本文详解如何利用BloodHound的Cypher查询快速识别Microsoft Entra ID（原Azure AD）环境中的高价值目标攻击路径，包括查找特权角色成员、绘制最短访问路径及进阶查询技巧，帮助安全团队高效检测潜在攻击路径。

访问管理

2026上云采购 | AI焕新·智启新局

cadc

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AD域攻防权威指南:四十.使用AzureHound对Microsoft Entra ID进行查找高价值目标攻击路径-腾讯云开发者社区-腾讯云

AD域攻防权威指南:四十.使用AzureHound对Microsoft Entra ID进行查找高价值目标攻击路径

AD域攻防权威指南:四十.使用AzureHound对Microsoft Entra ID进行查找高价值目标攻击路径

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐