简介基于Python的attack-graph-generator自动化攻击图生成器源码面向安全分析师、渗透测试人员及攻防演练团队通过自动化方式将网络拓扑、漏洞信息等转化为可视化攻击图辅助识别潜在攻击路径与风险点。包体共101个文件体积37.75MB涵盖JSON/YAML配置文件、DOT图数据、PDF报告、Python源码及字节码、Shell脚本等类型不同格式分别承担参数配置、图结构描述、结果展示、执行逻辑与自动化运维等职责便于直接复用和二次开发。项目借助Python丰富的库支持与Shell脚本的部署能力显著降低手动构建攻击图的门槛适用于网络、系统及应用的安全评估场景。目前已有321人学习压缩包内包含完整源码目录、关键配置示例及生成逻辑可快速复现攻击图生成流程为安全策略制定提供直观依据。1. 先搞清楚attack-graph-generator要解决什么问题攻防演练复盘时我对着 Excel 里的 47 台主机和 300 多条漏洞记录手动画了一个下午的攻击路径图第二天发现漏掉了一条从测试环境横向摸进生产内网的链路。后来我把这套动作交给基于 Python 的 attack-graph-generator 自动化攻击图生成器源码输入资产清单、漏洞扫描结果和网络可达性关系它自动输出一张有向攻击图标出攻击者从初始位置到目标资产的每条可达路径。它解决的是“漏洞很多但哪条攻击链真的能打穿”的判断问题而不是帮你再数一遍漏洞。适合安全运营、攻防演练评估和上线前置检查的从业者直接拿去当基础工程。2. 攻击图的数据模型与构建路径从资产清单到有向攻击路径2.1 有向图还是漏洞列表攻击图要回答的是“怎么走到目标”漏洞扫描报告给的是资产和漏洞的对应关系比如“web-01 这台机器上有 CVE-2023-XXXXCVSS 9.8”。但安全决策需要的是从攻击者视角出发的时序关系攻击者先打穿外网 web 服务拿到低权限再通过提权漏洞获得主机权限然后借端口转发跳到数据库。攻击图把这串动作建模成有向边边的方向就是攻击者的权限迁移方向。为什么必须是“有向”图因为无向图把“web-01 可以攻击 db-01”和“db-01 可以攻击 web-01”视为同一条边而实际中这两个方向的可利用性、前置条件完全不同。无向图还会让最短路径算法算出一堆反向路径干扰复盘。常见做法是用 networkx 的 DiGraph 作为底层容器节点存资产和服务状态边存利用关系和置信度。我踩过的一个误区是把攻击图做成知识图谱用实体关系模型去套“主机拥有端口、端口运行服务、服务有漏洞”。这种做法在展示层很漂亮但路径分析时要额外写很多逻辑才能从实体关系里抽出一条攻击链。直接用有向图路径就是标准图算法问题省下大量自造轮子的时间。2.2 输入数据怎么约定资产清单、漏洞扫描 JSON 与网络可达性生成器不能凭空出图必须先定好三种输入格式。资产清单负责提供图的节点集合漏洞扫描结果提供“从哪个状态能跳到哪个状态”的边网络可达性负责过滤防火墙和路由层面的物理不可达边。三种数据缺一种生成的图都会失真。实际的输入数据通常来自 Nessus、OpenVAS 或自研扫描器导出的 JSON。我一般会把字段收敛成下面这个结构避免杂字段污染解析逻辑{ assets: [ {id: web-01, ip: 10.0.1.10, os: CentOS 7, zone: dmz}, {id: db-01, ip: 10.0.2.20, os: Ubuntu 22.04, zone: core} ], vulnerabilities: [ { id: vul-101, asset_id: web-01, port: 80, cve: CVE-2023-XXXX, cvss_score: 9.8, exploitability: remote, requires_auth: false } ], reachability: [ {source: 10.0.0.0/24, target: 10.0.1.10, port: 80, action: allow} ] }asset_id 是资产在生成器内部的唯一键。vulnerabilities 里最关键的是 exploitability 字段它决定这条边是“远程可利用”还是“本地提权”。远程可利用对应攻击者从网络侧直接触发本地提权对应攻击者必须先拿到该主机上某个用户权限。reachability 用来过滤网络不可达的边很多团队在这一步用 python 爬虫去拉防火墙配置或 CMDB 数据可以但记得把端口协议一起带回来只给 IP 段是无法判断端口是否放行的。2.3 节点与边的数据模型把“主机—服务—权限”装进图图只有两层概念节点和边。节点要能表达“攻击者在某台主机上拥有什么级别的权限”边要能表达“通过什么动作从 A 状态到达 B 状态”。我用 dataclass 定义模型保持轻量方便后续序列化成 JSON 或 GEXF。from dataclasses import dataclass, field from typing import Dict, Optional dataclass class AttackNode: node_id: str node_type: str # host | service | credential attrs: Dict[str, Optional[str]] field(default_factorydict) dataclass class AttackEdge: source: str target: str relation: str # exploits | authenticates_to | pivots_to confidence: float 1.0 metadata: Dict[str, str] field(default_factorydict)node_id 是全局唯一的主键我习惯用“主机ID:端口:协议”拼接比如web-01:80:tcp这能避免同一台主机上多个服务互相混淆。node_type 区分服务节点和权限节点关键在于后续剪枝时可以把“无后续利用价值的普通服务节点”批量删掉。AttackEdge 里 relation 字段决定边在路径上的语义exploits 表示漏洞利用pivots_to 表示跳板横向移动confidence 表示该边是扫描器确认的硬证据还是情报推断的软结果。参数说明confidence 默认给 1.0 表示已确认情报推断边建议给 0.6 到 0.8路径分析时可以按置信度做加权避免把一厢情愿的攻击路径排在前面。metadata 里我通常塞 cve 编号和利用 PoC 的公开状态方便最后出报告时直接引用。2.4 构建流程解析、归一化、建边、剪枝拿到三类输入后构建过程分四步走。第一步解析 JSON 生成节点第二步把漏洞记录按“资产 端口 漏洞编号”归一化去重第三步根据漏洞的 remote/local 属性和 reachability 规则建边第四步剪枝删掉孤立节点和置信度低于阈值的边。import networkx as nx from model import AttackNode, AttackEdge def build_graph(data, cvss_threshold5.0): graph nx.DiGraph() for asset in data[assets]: node AttackNode(node_idasset[id], node_typehost, attrsasset) graph.add_node(node.node_id, **node.attrs) for vul in data[vulnerabilities]: if vul[cvss_score] cvss_threshold: continue if not reachable(data[reachability], vul[asset_id], vul[port]): continue source vul[asset_id] if vul[exploitability] local else attacker graph.add_edge(source, vul[asset_id], relationexploits, cvevul[cve], cvssvul[cvss_score]) return graph这段代码里最容易被忽略的是 reachable 函数。它不是判断两个 IP 是否同一网段而是要查 reachability 列表里是否存在 source 到 target、目标端口等于漏洞端口的 allow 规则。漏掉这一步攻击图会把所有漏洞都当成可远程利用生成结果会是在一张图上到处乱射线的“满天星”图形。cvss_threshold 在这里是第一个粗过滤条件。我见过把 CVSS 2.0 的漏洞也建进图的团队图里瞬间多出几千条边真正的高危路径被淹没。先按 5.0 以上建边后面再细调。3. 在本地跑通 attack-graph-generator最小源码结构与三个必调参数3.1 最小源码目录五个文件跑出一条可供复盘的攻击路径拿到源码后先别急着看可视化先让命令行能吐出一条路径。最小可运行的源码结构我建议按以下五个文件组织所有模块都围绕一个有向图转避免把逻辑散落得到处都是。环境只需要 python 3.8 以上用 venv 隔离依赖装 networkx 和 pydot 两个包就可以走通全流程。attack_graph_gen/ ├── model.py # AttackNode / AttackEdge 数据模型 ├── parser.py # 读取 assets / vulnerabilities / reachability JSON ├── builder.py # 构建 DiGraph执行建边和剪枝 ├── analyzer.py # 所有路径分析输出最短路径与全部路径 ├── visualize.py # 导出 dot / svg / json └── cli.py # 命令行入口串联各模块parser 负责把外部 JSON 变成可用的 Python 字典并校验必填字段比如 asset_id 为空直接报错而不是进图里制造脏数据。builder 只接收 parser 产出的数据不直接碰文件这样单元测试时可以只测 builder 而不依赖磁盘文件。analyzer 单独拆出来的原因是路径分析经常要跑 BFS、DFS、k 短路跟构建逻辑混在一起会让一个文件膨胀到几百行。visualize 在最后才调用因为失败时先看路径文本不要一上来就纠结画图。cli.py 我给三个参数输入文件路径、目标节点、cutoff 深度。命令行不通别的都免谈。3.2 核心构建逻辑从漏洞记录生成边并用遍历算法收集攻击路径构建逻辑上面已经给了雏形这一节把 analyzer 部分补齐。生成攻击图后安全人员最关心两个问题从 attack 起点到目标节点有没有路如果有哪条路最短。networkx 的 all_simple_paths 能枚举所有简单路径配合 cutoff 限制深度防止爆炸。import networkx as nx import json def run(input_path, target, cutoff3, cvss_threshold5.0): data json.load(open(input_path, encodingutf-8)) graph build_graph(data, cvss_thresholdcvss_threshold) attacker_nodes [n for n in graph.nodes if n attacker] if not attacker_nodes: graph.add_node(attacker) seen set() for path in nx.all_simple_paths(graph, attacker, target, cutoffcutoff): if len(path) 2: continue key -.join(path) if key not in seen: seen.add(key) print(key) return graphcutoff 参数限制路径最大跳数默认 3 跳对应“打点 → 提权 → 横向”的典型链路。超过 3 跳的路径在真实攻防中大多数会衰减得很厉害先看 3 跳内的结果能快速定位最高优先级风险。cvss_threshold 在构建期过滤低危漏洞这里和 builder 的参数保持一致避免改了这里漏了那里。执行时输入文件里的 target 建议写成资产 ID比如 db-01而不是 IP因为图里的节点主键已经统一成资产 ID。路径输出的是节点序列形如attacker - web-01 - db-01这个格式可以直接贴进复盘报告。3.3 三个必调参数cutoff 深度、CVSS 阈值和边方向很多源码包默认参数能跑但不出有效结果问题就出在三个参数的取值得到了“能跑”但“没意义”的水平。我把这三个参数单独拿出来说明因为它们决定了生成图是攻击链还是漏洞大杂烩。参数默认值作用调参方向cutoff3限制路径最大跳数小型内网设 3大型跨域网络设 5超过 6 基本不可信cvss_threshold5.0过滤低危漏洞边攻防演练用 7.0 降低噪声日常巡检用 4.0 避免漏报edge_directionforward边的构建方向forward 表示从攻击者视角建边reverse 表示从目标倒推后者用于回溯谁可能打过 targetcutoff 不是越大越好。我见过有人把 cutoff 设成 10结果是全网络任意两台机器都通过四五跳连在一起路径列表几十万条报告没法看。cvss_threshold 调得越低边越多多到一定程度后最短路径反而失真——因为图里出现大量低危边作为替代路径掩盖了真正的高风险通道。edge_direction 这个参数在源码里常常藏在配置文件中容易被忽略。正向边适合攻防推演倒推边适合溯源分析你要先想清楚自己是在做攻击面评估还是找攻击来源再决定方向。3.4 导出成可视化与 JSON给汇报和自动化各一份路径算出来后格式化的产物比一张图更常用。JSON 给自动化平台DOT 给人工看图。networkx 直接支持两种导出不需要额外写遍历逻辑。python cli.py --input input.json --target db-01 --cutoff 3 --output-dir ./out导出本身在 visualize.py 中实现我常用的流程是先把图写为 Graphviz DOT 文件再调dot命令转 SVG方便汇报时嵌入文档。注意导出的是全量图而不是只导出路径通常还会把命中高危路径的节点用颜色标出。import networkx as nx def export(graph, path_list, out_dir): nx.write_gexf(graph, f{out_dir}/attack_graph.gexf) nx.write_networktext(graph, f{out_dir}/attack_graph.json) # 自定义简化格式 for i, path in enumerate(path_list): print(f{out_dir}/path_{i}.json)GEXF 格式适合在 Gephi 里做交互探索JSON 格式适合给下游的工单系统或 SIEM 消费。可视化不是攻击图生成器的最终产物路径数据才是这个顺序不要搞反。4. 自动化攻击图生成器避坑图膨胀、环检测与路径失真的五条血泪经验4.1 图膨胀五万个节点不是攻击图是垃圾场现象输入两百条漏洞记录生成的图里有五万个节点、十几万条边打开 DOT 文件卡死路径分析跑了十分钟没结果。原因把每个漏洞的每条扫描插件结果都依次建边同一漏洞在不同端口上重复出现就重复建边再加上没有过滤低危漏洞图自然失控。解决先按“资产 端口 漏洞编号”做归并去重同一三元组只保留一条边置信度取多次扫描的最高值。cvss_threshold 从 5.0 起步边还是没有明显下降时继续调到 7.0直到每条边都能回答“它对应什么具体风险”。图形不是越密越好密度低到一眼能看出主路径才算干净。4.2 环检测权限回授让 all_simple_paths 直接躺平现象analyzer 调用 all_simple_paths 后进程长时间不返回CPU 打满看起来像死循环其实是图里存在环路径枚举在环上不断扩展组合。原因攻击图里常见“主机 A 的本地漏洞能打到主机 B主机 B 的服务又能回连主机 A”形成双向边。all_simple_paths 本身遍历的是简单路径不允许重复节点但环的存在会让遍历状态巨大化尤其 cutoff 设大时组合爆炸。解决建图阶段就做一次环检测把互相可达的成对边标记出来或者直接在构建时去重反向边。networkx 的 simple_cycles 可以在构建后检查环命中环的边降置信度或直接删掉。import networkx as nx cycles list(nx.simple_cycles(graph)) for cycle in cycles: if len(cycle) 2: edge (cycle[0], cycle[1]) graph.remove_edge(*edge) print(fremove back edge: {edge})这里的循环里只处理长度为 2 的互回边长度为 3 以上的环属于复杂信任链先保留但要在后续路径分析时做好 visited 去重。删除互回边是务实的做法因为在真实攻击链里从 B 打回 A 的难度通常高于继续向前纵深删掉反向边不会漏掉最高风险路径。4.3 路径失真网络可达不等于攻击可达现象输出路径是attacker - web-01 - db-01但实际攻击者访问 db-01 需要先经过防火墙放行的端口而图中完全没有体现这个限制生成了一条根本走不通的路径。原因构建时只看了漏洞和资产关系没有把 reachability 数据参与建边。很多源码默认 assume 全网络互达这个假设在小型测试环境成立一进真实内网就出问题。解决在 build_graph 里把 reachable 函数做成必选项不是可选项。判断逻辑不是简单的源目 IP 比较而是要查清 source 网段到 target 主机的指定端口是否放行。没有 reachability 数据时宁可少建边也不要把所有漏洞都设为远程可达否则整张图的“透视”价值就没了。路径失真比图膨胀更危险因为它给出的是错误的安全感。4.4 可视化翻车SVG 30MB浏览器当场黑匣子现象导出 SVG 后浏览器打开直接没有响应内存占用瞬间飙高日志里没有任何报错信息。原因Graphviz 渲染全量图时把所有节点和边一次性铺开几百个节点几十条路径还能撑住上千节点就完蛋。解决可视化之前先做一次路径剪枝只保留出现在满足 cutoff 约束的路径上的节点。反向 BFS 可以从 target 往回走把不在任何可达路径上的孤立子图砍掉。剪枝后的图如果还有几百个节点就按攻击阶段分图渲染打点阶段一张、横向阶段一张而不是一张图塞满一切。def prune_to_target(graph, target, cutoff): relevant set() for u in graph.nodes: if nx.has_path(graph, u, target) and nx.shortest_path_length(graph, u, target) cutoff: relevant.add(u) return graph.subgraph(relevant).copy()has_path 会对每个节点做一次可达性判断图大的时候这个操作也不便宜所以剪枝要在构建后立刻做别等到快下班可视化时再跑。4.5 数据源不一致同一天两次生成的图路径不一样现象早上跑出来有attacker - web-01 - db-01这条路径下午重新扫描后同样的输入参数居然丢了这条路径。原因扫描器的增量更新把资产 ID 变了或者同一台主机 IP 没变但服务端口字段格式变了比如${PORT}占位符没有被解析。解析器一旦遇到带特殊字符的端口字段就静默丢弃了整条漏洞记录。解决在 parser 阶段做字段级校验凡是遇到 port 不是整数、asset_id 在资产清单里找不到的情况直接抛异常而不是继续跑。输出日志里要记录每条漏洞记录的解析状态统计丢弃率。丢弃率超过 1% 就要停下来查数据源而不是盲目继续生成图。漏洞数据是图的燃料燃料质量不稳定图就没有参考价值。5. 把 attack-graph-generator 的产出管起来黄金样例回归测试与路径工单导出5.1 用五节点黄金样例校准生成器攻击图生成器最怕的不是功能缺而是改了一行参数后悄悄改变了既有结论。我的习惯是维护一个五节点黄金样例 fixture里面构造一条已知的攻击路径attacker 打穿 web-01提权后 via 跳板到 db-01。每次改完代码或调完参数先跑这个样例断言关键路径仍然存在。EXPECTED [[attacker, web-01, db-01]] def test_golden_path(graph, expected): for path in expected: assert nx.is_simple_path(graph, path), fgolden path broken: {path}这个测试的价值在于把行为固化下来参数调高调低时黄金路径必须保留其他新出现的边可以接受。没有对照基准调参就成了一场玄学今天调出一个好看图明天改个参数又打回原形。5.2 把路径转成 CSV 工单而不是只发一张图我最后交付时通常不再单独扔给运维同事一张巨大的攻击图而是把命中路径转成 CSV 工单每行一条攻击链标注跳数、涉及的 CVE、目标端口和置信度。巡检同事关心的不是图长什么样而是哪条路径要先处理。rows [ {path: -.join(p), hops: len(p) - 1, cve: graph[p[i]][p[i1]][cve]} for p in paths for i in range(len(p) - 1) ]CSV 可以直接导入漏洞管理平台或工单系统也能在每周复盘时跟上周的目标路径做 diff。攻击图生成器的真正价值不是让你拿着一张拓扑图看半天而是把路径变成可跟踪、可验证、可回滚的数据。我做这个生成器最深的教训是永远不要把没有跑过黄金样例的输出当成结论项目源码跑通了只是第一步怎么验证你的图没有撒谎才是真正的坎。希望帮到你。本文还有配套的精品资源点击获取
简介基于Python的attack-graph-generator自动化攻击图生成器源码面向安全分析师、渗透测试人员及攻防演练团队通过自动化方式将网络拓扑、漏洞信息等转化为可视化攻击图辅助识别潜在攻击路径与风险点。包体共101个文件体积37.75MB涵盖JSON/YAML配置文件、DOT图数据、PDF报告、Python源码及字节码、Shell脚本等类型不同格式分别承担参数配置、图结构描述、结果展示、执行逻辑与自动化运维等职责便于直接复用和二次开发。项目借助Python丰富的库支持与Shell脚本的部署能力显著降低手动构建攻击图的门槛适用于网络、系统及应用的安全评估场景。目前已有321人学习压缩包内包含完整源码目录、关键配置示例及生成逻辑可快速复现攻击图生成流程为安全策略制定提供直观依据。1. 先搞清楚attack-graph-generator要解决什么问题攻防演练复盘时我对着 Excel 里的 47 台主机和 300 多条漏洞记录手动画了一个下午的攻击路径图第二天发现漏掉了一条从测试环境横向摸进生产内网的链路。后来我把这套动作交给基于 Python 的 attack-graph-generator 自动化攻击图生成器源码输入资产清单、漏洞扫描结果和网络可达性关系它自动输出一张有向攻击图标出攻击者从初始位置到目标资产的每条可达路径。它解决的是“漏洞很多但哪条攻击链真的能打穿”的判断问题而不是帮你再数一遍漏洞。适合安全运营、攻防演练评估和上线前置检查的从业者直接拿去当基础工程。2. 攻击图的数据模型与构建路径从资产清单到有向攻击路径2.1 有向图还是漏洞列表攻击图要回答的是“怎么走到目标”漏洞扫描报告给的是资产和漏洞的对应关系比如“web-01 这台机器上有 CVE-2023-XXXXCVSS 9.8”。但安全决策需要的是从攻击者视角出发的时序关系攻击者先打穿外网 web 服务拿到低权限再通过提权漏洞获得主机权限然后借端口转发跳到数据库。攻击图把这串动作建模成有向边边的方向就是攻击者的权限迁移方向。为什么必须是“有向”图因为无向图把“web-01 可以攻击 db-01”和“db-01 可以攻击 web-01”视为同一条边而实际中这两个方向的可利用性、前置条件完全不同。无向图还会让最短路径算法算出一堆反向路径干扰复盘。常见做法是用 networkx 的 DiGraph 作为底层容器节点存资产和服务状态边存利用关系和置信度。我踩过的一个误区是把攻击图做成知识图谱用实体关系模型去套“主机拥有端口、端口运行服务、服务有漏洞”。这种做法在展示层很漂亮但路径分析时要额外写很多逻辑才能从实体关系里抽出一条攻击链。直接用有向图路径就是标准图算法问题省下大量自造轮子的时间。2.2 输入数据怎么约定资产清单、漏洞扫描 JSON 与网络可达性生成器不能凭空出图必须先定好三种输入格式。资产清单负责提供图的节点集合漏洞扫描结果提供“从哪个状态能跳到哪个状态”的边网络可达性负责过滤防火墙和路由层面的物理不可达边。三种数据缺一种生成的图都会失真。实际的输入数据通常来自 Nessus、OpenVAS 或自研扫描器导出的 JSON。我一般会把字段收敛成下面这个结构避免杂字段污染解析逻辑{ assets: [ {id: web-01, ip: 10.0.1.10, os: CentOS 7, zone: dmz}, {id: db-01, ip: 10.0.2.20, os: Ubuntu 22.04, zone: core} ], vulnerabilities: [ { id: vul-101, asset_id: web-01, port: 80, cve: CVE-2023-XXXX, cvss_score: 9.8, exploitability: remote, requires_auth: false } ], reachability: [ {source: 10.0.0.0/24, target: 10.0.1.10, port: 80, action: allow} ] }asset_id 是资产在生成器内部的唯一键。vulnerabilities 里最关键的是 exploitability 字段它决定这条边是“远程可利用”还是“本地提权”。远程可利用对应攻击者从网络侧直接触发本地提权对应攻击者必须先拿到该主机上某个用户权限。reachability 用来过滤网络不可达的边很多团队在这一步用 python 爬虫去拉防火墙配置或 CMDB 数据可以但记得把端口协议一起带回来只给 IP 段是无法判断端口是否放行的。2.3 节点与边的数据模型把“主机—服务—权限”装进图图只有两层概念节点和边。节点要能表达“攻击者在某台主机上拥有什么级别的权限”边要能表达“通过什么动作从 A 状态到达 B 状态”。我用 dataclass 定义模型保持轻量方便后续序列化成 JSON 或 GEXF。from dataclasses import dataclass, field from typing import Dict, Optional dataclass class AttackNode: node_id: str node_type: str # host | service | credential attrs: Dict[str, Optional[str]] field(default_factorydict) dataclass class AttackEdge: source: str target: str relation: str # exploits | authenticates_to | pivots_to confidence: float 1.0 metadata: Dict[str, str] field(default_factorydict)node_id 是全局唯一的主键我习惯用“主机ID:端口:协议”拼接比如web-01:80:tcp这能避免同一台主机上多个服务互相混淆。node_type 区分服务节点和权限节点关键在于后续剪枝时可以把“无后续利用价值的普通服务节点”批量删掉。AttackEdge 里 relation 字段决定边在路径上的语义exploits 表示漏洞利用pivots_to 表示跳板横向移动confidence 表示该边是扫描器确认的硬证据还是情报推断的软结果。参数说明confidence 默认给 1.0 表示已确认情报推断边建议给 0.6 到 0.8路径分析时可以按置信度做加权避免把一厢情愿的攻击路径排在前面。metadata 里我通常塞 cve 编号和利用 PoC 的公开状态方便最后出报告时直接引用。2.4 构建流程解析、归一化、建边、剪枝拿到三类输入后构建过程分四步走。第一步解析 JSON 生成节点第二步把漏洞记录按“资产 端口 漏洞编号”归一化去重第三步根据漏洞的 remote/local 属性和 reachability 规则建边第四步剪枝删掉孤立节点和置信度低于阈值的边。import networkx as nx from model import AttackNode, AttackEdge def build_graph(data, cvss_threshold5.0): graph nx.DiGraph() for asset in data[assets]: node AttackNode(node_idasset[id], node_typehost, attrsasset) graph.add_node(node.node_id, **node.attrs) for vul in data[vulnerabilities]: if vul[cvss_score] cvss_threshold: continue if not reachable(data[reachability], vul[asset_id], vul[port]): continue source vul[asset_id] if vul[exploitability] local else attacker graph.add_edge(source, vul[asset_id], relationexploits, cvevul[cve], cvssvul[cvss_score]) return graph这段代码里最容易被忽略的是 reachable 函数。它不是判断两个 IP 是否同一网段而是要查 reachability 列表里是否存在 source 到 target、目标端口等于漏洞端口的 allow 规则。漏掉这一步攻击图会把所有漏洞都当成可远程利用生成结果会是在一张图上到处乱射线的“满天星”图形。cvss_threshold 在这里是第一个粗过滤条件。我见过把 CVSS 2.0 的漏洞也建进图的团队图里瞬间多出几千条边真正的高危路径被淹没。先按 5.0 以上建边后面再细调。3. 在本地跑通 attack-graph-generator最小源码结构与三个必调参数3.1 最小源码目录五个文件跑出一条可供复盘的攻击路径拿到源码后先别急着看可视化先让命令行能吐出一条路径。最小可运行的源码结构我建议按以下五个文件组织所有模块都围绕一个有向图转避免把逻辑散落得到处都是。环境只需要 python 3.8 以上用 venv 隔离依赖装 networkx 和 pydot 两个包就可以走通全流程。attack_graph_gen/ ├── model.py # AttackNode / AttackEdge 数据模型 ├── parser.py # 读取 assets / vulnerabilities / reachability JSON ├── builder.py # 构建 DiGraph执行建边和剪枝 ├── analyzer.py # 所有路径分析输出最短路径与全部路径 ├── visualize.py # 导出 dot / svg / json └── cli.py # 命令行入口串联各模块parser 负责把外部 JSON 变成可用的 Python 字典并校验必填字段比如 asset_id 为空直接报错而不是进图里制造脏数据。builder 只接收 parser 产出的数据不直接碰文件这样单元测试时可以只测 builder 而不依赖磁盘文件。analyzer 单独拆出来的原因是路径分析经常要跑 BFS、DFS、k 短路跟构建逻辑混在一起会让一个文件膨胀到几百行。visualize 在最后才调用因为失败时先看路径文本不要一上来就纠结画图。cli.py 我给三个参数输入文件路径、目标节点、cutoff 深度。命令行不通别的都免谈。3.2 核心构建逻辑从漏洞记录生成边并用遍历算法收集攻击路径构建逻辑上面已经给了雏形这一节把 analyzer 部分补齐。生成攻击图后安全人员最关心两个问题从 attack 起点到目标节点有没有路如果有哪条路最短。networkx 的 all_simple_paths 能枚举所有简单路径配合 cutoff 限制深度防止爆炸。import networkx as nx import json def run(input_path, target, cutoff3, cvss_threshold5.0): data json.load(open(input_path, encodingutf-8)) graph build_graph(data, cvss_thresholdcvss_threshold) attacker_nodes [n for n in graph.nodes if n attacker] if not attacker_nodes: graph.add_node(attacker) seen set() for path in nx.all_simple_paths(graph, attacker, target, cutoffcutoff): if len(path) 2: continue key -.join(path) if key not in seen: seen.add(key) print(key) return graphcutoff 参数限制路径最大跳数默认 3 跳对应“打点 → 提权 → 横向”的典型链路。超过 3 跳的路径在真实攻防中大多数会衰减得很厉害先看 3 跳内的结果能快速定位最高优先级风险。cvss_threshold 在构建期过滤低危漏洞这里和 builder 的参数保持一致避免改了这里漏了那里。执行时输入文件里的 target 建议写成资产 ID比如 db-01而不是 IP因为图里的节点主键已经统一成资产 ID。路径输出的是节点序列形如attacker - web-01 - db-01这个格式可以直接贴进复盘报告。3.3 三个必调参数cutoff 深度、CVSS 阈值和边方向很多源码包默认参数能跑但不出有效结果问题就出在三个参数的取值得到了“能跑”但“没意义”的水平。我把这三个参数单独拿出来说明因为它们决定了生成图是攻击链还是漏洞大杂烩。参数默认值作用调参方向cutoff3限制路径最大跳数小型内网设 3大型跨域网络设 5超过 6 基本不可信cvss_threshold5.0过滤低危漏洞边攻防演练用 7.0 降低噪声日常巡检用 4.0 避免漏报edge_directionforward边的构建方向forward 表示从攻击者视角建边reverse 表示从目标倒推后者用于回溯谁可能打过 targetcutoff 不是越大越好。我见过有人把 cutoff 设成 10结果是全网络任意两台机器都通过四五跳连在一起路径列表几十万条报告没法看。cvss_threshold 调得越低边越多多到一定程度后最短路径反而失真——因为图里出现大量低危边作为替代路径掩盖了真正的高风险通道。edge_direction 这个参数在源码里常常藏在配置文件中容易被忽略。正向边适合攻防推演倒推边适合溯源分析你要先想清楚自己是在做攻击面评估还是找攻击来源再决定方向。3.4 导出成可视化与 JSON给汇报和自动化各一份路径算出来后格式化的产物比一张图更常用。JSON 给自动化平台DOT 给人工看图。networkx 直接支持两种导出不需要额外写遍历逻辑。python cli.py --input input.json --target db-01 --cutoff 3 --output-dir ./out导出本身在 visualize.py 中实现我常用的流程是先把图写为 Graphviz DOT 文件再调dot命令转 SVG方便汇报时嵌入文档。注意导出的是全量图而不是只导出路径通常还会把命中高危路径的节点用颜色标出。import networkx as nx def export(graph, path_list, out_dir): nx.write_gexf(graph, f{out_dir}/attack_graph.gexf) nx.write_networktext(graph, f{out_dir}/attack_graph.json) # 自定义简化格式 for i, path in enumerate(path_list): print(f{out_dir}/path_{i}.json)GEXF 格式适合在 Gephi 里做交互探索JSON 格式适合给下游的工单系统或 SIEM 消费。可视化不是攻击图生成器的最终产物路径数据才是这个顺序不要搞反。4. 自动化攻击图生成器避坑图膨胀、环检测与路径失真的五条血泪经验4.1 图膨胀五万个节点不是攻击图是垃圾场现象输入两百条漏洞记录生成的图里有五万个节点、十几万条边打开 DOT 文件卡死路径分析跑了十分钟没结果。原因把每个漏洞的每条扫描插件结果都依次建边同一漏洞在不同端口上重复出现就重复建边再加上没有过滤低危漏洞图自然失控。解决先按“资产 端口 漏洞编号”做归并去重同一三元组只保留一条边置信度取多次扫描的最高值。cvss_threshold 从 5.0 起步边还是没有明显下降时继续调到 7.0直到每条边都能回答“它对应什么具体风险”。图形不是越密越好密度低到一眼能看出主路径才算干净。4.2 环检测权限回授让 all_simple_paths 直接躺平现象analyzer 调用 all_simple_paths 后进程长时间不返回CPU 打满看起来像死循环其实是图里存在环路径枚举在环上不断扩展组合。原因攻击图里常见“主机 A 的本地漏洞能打到主机 B主机 B 的服务又能回连主机 A”形成双向边。all_simple_paths 本身遍历的是简单路径不允许重复节点但环的存在会让遍历状态巨大化尤其 cutoff 设大时组合爆炸。解决建图阶段就做一次环检测把互相可达的成对边标记出来或者直接在构建时去重反向边。networkx 的 simple_cycles 可以在构建后检查环命中环的边降置信度或直接删掉。import networkx as nx cycles list(nx.simple_cycles(graph)) for cycle in cycles: if len(cycle) 2: edge (cycle[0], cycle[1]) graph.remove_edge(*edge) print(fremove back edge: {edge})这里的循环里只处理长度为 2 的互回边长度为 3 以上的环属于复杂信任链先保留但要在后续路径分析时做好 visited 去重。删除互回边是务实的做法因为在真实攻击链里从 B 打回 A 的难度通常高于继续向前纵深删掉反向边不会漏掉最高风险路径。4.3 路径失真网络可达不等于攻击可达现象输出路径是attacker - web-01 - db-01但实际攻击者访问 db-01 需要先经过防火墙放行的端口而图中完全没有体现这个限制生成了一条根本走不通的路径。原因构建时只看了漏洞和资产关系没有把 reachability 数据参与建边。很多源码默认 assume 全网络互达这个假设在小型测试环境成立一进真实内网就出问题。解决在 build_graph 里把 reachable 函数做成必选项不是可选项。判断逻辑不是简单的源目 IP 比较而是要查清 source 网段到 target 主机的指定端口是否放行。没有 reachability 数据时宁可少建边也不要把所有漏洞都设为远程可达否则整张图的“透视”价值就没了。路径失真比图膨胀更危险因为它给出的是错误的安全感。4.4 可视化翻车SVG 30MB浏览器当场黑匣子现象导出 SVG 后浏览器打开直接没有响应内存占用瞬间飙高日志里没有任何报错信息。原因Graphviz 渲染全量图时把所有节点和边一次性铺开几百个节点几十条路径还能撑住上千节点就完蛋。解决可视化之前先做一次路径剪枝只保留出现在满足 cutoff 约束的路径上的节点。反向 BFS 可以从 target 往回走把不在任何可达路径上的孤立子图砍掉。剪枝后的图如果还有几百个节点就按攻击阶段分图渲染打点阶段一张、横向阶段一张而不是一张图塞满一切。def prune_to_target(graph, target, cutoff): relevant set() for u in graph.nodes: if nx.has_path(graph, u, target) and nx.shortest_path_length(graph, u, target) cutoff: relevant.add(u) return graph.subgraph(relevant).copy()has_path 会对每个节点做一次可达性判断图大的时候这个操作也不便宜所以剪枝要在构建后立刻做别等到快下班可视化时再跑。4.5 数据源不一致同一天两次生成的图路径不一样现象早上跑出来有attacker - web-01 - db-01这条路径下午重新扫描后同样的输入参数居然丢了这条路径。原因扫描器的增量更新把资产 ID 变了或者同一台主机 IP 没变但服务端口字段格式变了比如${PORT}占位符没有被解析。解析器一旦遇到带特殊字符的端口字段就静默丢弃了整条漏洞记录。解决在 parser 阶段做字段级校验凡是遇到 port 不是整数、asset_id 在资产清单里找不到的情况直接抛异常而不是继续跑。输出日志里要记录每条漏洞记录的解析状态统计丢弃率。丢弃率超过 1% 就要停下来查数据源而不是盲目继续生成图。漏洞数据是图的燃料燃料质量不稳定图就没有参考价值。5. 把 attack-graph-generator 的产出管起来黄金样例回归测试与路径工单导出5.1 用五节点黄金样例校准生成器攻击图生成器最怕的不是功能缺而是改了一行参数后悄悄改变了既有结论。我的习惯是维护一个五节点黄金样例 fixture里面构造一条已知的攻击路径attacker 打穿 web-01提权后 via 跳板到 db-01。每次改完代码或调完参数先跑这个样例断言关键路径仍然存在。EXPECTED [[attacker, web-01, db-01]] def test_golden_path(graph, expected): for path in expected: assert nx.is_simple_path(graph, path), fgolden path broken: {path}这个测试的价值在于把行为固化下来参数调高调低时黄金路径必须保留其他新出现的边可以接受。没有对照基准调参就成了一场玄学今天调出一个好看图明天改个参数又打回原形。5.2 把路径转成 CSV 工单而不是只发一张图我最后交付时通常不再单独扔给运维同事一张巨大的攻击图而是把命中路径转成 CSV 工单每行一条攻击链标注跳数、涉及的 CVE、目标端口和置信度。巡检同事关心的不是图长什么样而是哪条路径要先处理。rows [ {path: -.join(p), hops: len(p) - 1, cve: graph[p[i]][p[i1]][cve]} for p in paths for i in range(len(p) - 1) ]CSV 可以直接导入漏洞管理平台或工单系统也能在每周复盘时跟上周的目标路径做 diff。攻击图生成器的真正价值不是让你拿着一张拓扑图看半天而是把路径变成可跟踪、可验证、可回滚的数据。我做这个生成器最深的教训是永远不要把没有跑过黄金样例的输出当成结论项目源码跑通了只是第一步怎么验证你的图没有撒谎才是真正的坎。希望帮到你。本文还有配套的精品资源点击获取
