BadSuccessor 漏洞：未修复的微软 Active Directory 攻击可导致域控沦陷
我要评论网络安全研究人员发现 ，漏洞沦陷在默认配置的未修微软Windows Server 2025 Active Directory（AD，活动目录）环境中存在一条新的域控攻击路径 。攻击者可利用该漏洞危害环境中的漏洞沦陷任意用户 ，最终导致整个域控系统沦陷 。未修微软
Akamai研究员Yuval Gordon在最新报告中指出 ："该问题可能影响绝大多数依赖AD架构的域控企业组织。在我们检测的漏洞沦陷91%环境中 ，都发现了域管理员组之外具备攻击所需权限的未修微软用户 。"该攻击利用了Windows Server 2025引入的域控"委托托管服务账户"（Delegated Managed Service Accounts，高防服务器dMSA）新特性——该功能本是漏洞沦陷为防范Kerberoasting攻击（攻击者从AD环境中提取服务账户凭证哈希后进行离线破解）而设计。
研究团队发现 ，未修微软dMSA账户从被替代服务账户继承权限时，域控其实现方式允许无缝迁移和使用先前颁发的漏洞沦陷票据 ，却未执行足够严格的未修微软验证 。这使得攻击者可以成功冒充包括域管理员在内的域控任何用户 。微软虽承认该问题 ，但将其评定为中等严重性 ，认为无需紧急修复，理由是CreateChild权限相关风险已有文档说明 。香港云服务器但Akamai研究人员指出 ，当前行业标准实践或工具均未将此权限视为关键风险 。
创建dMSA账户时 ，它会继承被替代服务账户的权限 。这个迁移过程涉及更新dMSA对象属性的多个步骤 ，包括 ：
msDS-DelegatedMSAState ：标记迁移状态（未知/进行中/已完成）msDS-ManagedAccountPrecededByLink ：标识被替代账户msDS-GroupMSAMembership：指定可认证为该账户的主体迁移完成后 ，任何尝试以旧服务账户认证的设备都会收到包含KERB-SUPERSEDED-BY-USER字段的错误信息 ，提示其改用dMSA重新认证 。此时AD使用的源码下载Kerberos协议中的密钥分发中心（KDC）会为dMSA账户生成特权属性证书（PAC） ，其中包含被替代账户及其关联组的安全标识符（SID） ，实质上授予新账户所有旧账户权限 。
漏洞关键在于 ：攻击者可以任意修改自建dMSA账户的这两个属性，诱使KDC误判任意服务账户已完成迁移 。Akamai团队将这种技术命名为"BadSuccessor" ，并强调 ："攻击者只需控制dMSA对象即可掌控整个域 ，无需实际迁移过程或验证机制 。"
未部署dMSA的环境同样面临风险研究团队警告 ，即使企业尚未创建任何dMSA账户，攻击者仍可利用OU（组织单元）中的免费模板CreateChild权限自行创建。默认情况下 ，dMSA账户存储在托管服务账户容器 ，但通过path参数也可在OU内创建 。具备OU内CreateChild权限的低权限用户创建dMSA后，可：
修改ManagedAccountPrecededByLink属性指向目标账户（如域管理员）将msDS-DelegatedMSAState设为已完成状态（值2）通过KDC认证获取包含目标账户所有权限的会话票据研究人员指出 ："仅需修改两个属性 ，新建对象就能继承全部特权 。我们未更改任何组成员关系，未提升现有账户权限 ，也未触发传统提权警报 。"
攻击者还能获取加密凭证更严重的是，服务器租用攻击者不仅能获取目标账户权限的会话票据 ，还能通过票据中的KERB-DMSA-KEYPACKAGE结构获取该账户的加密密码（存储在previous-keys字段）。虽然新建dMSA本不应存在"历史密钥"，但为保持迁移前颁发的会话票据有效性 ，系统会继承被替代账户的密钥——这使得攻击者可能获取域内所有用户和计算机的密钥 。
缓解措施建议目前微软尚未发布补丁 ，Akamai建议企业采取以下措施：
(1) 使用其提供的PowerShell脚本识别具备dMSA创建权限的主体及对应OU
(2) 将该权限严格限制于可信管理员账户
(3) 部署系统访问控制列表（SACL）监控以下行为：
新建msDSDelegatedManagedServiceAccount对象修改msDSManagedAccountPrecededByLink属性为含KERB-DMSA-KEY-PACKAGE结构的亿华云dMSA生成票据授予票据（TGT）相关文章
量子计算机有一天可能会让加密失效，同样还有自旋电子也会对现在的加密方式有同样的威胁。但事实上，我们可能甚至不需要下一代的算力来破解加密——它现在已经真真切切地在发生了。加密为何失效？有许多因素会产生加2025-12-07
华为一键root工具无需电脑，轻松解锁手机潜力（华为手机root工具，轻松获取控制权，尽享自由定制）
现如今，华为手机已经成为很多人的首选，拥有出色的硬件性能和强大的功能。然而，对于一些高级用户来说，他们可能希望进一步发挥华为手机的潜力，进行一些定制化设置或者安装特殊应用。而华为一键root工具无需电2025-12-07
安全工具遭恶意利用网络安全团队近期发现，威胁攻击者正通过盗版Shellter Elite反病毒规避软件传播恶意程序。使用该商业软件检测漏洞的企业安全官CISO）需立即升级至最新版本。这款由Shellt2025-12-07
TP-LinkWR2041N（打造稳定高速的网络连接，享受畅快上网体验）
随着互联网的迅速发展，无线路由器已成为每个家庭必备的设备之一。在众多品牌中，TP-Link以其稳定可靠的性能和卓越的品质赢得了众多用户的信赖。本文将重点介绍TP-LinkWR2041N无线路由器的特点2025-12-07
没有正确的衡量标准，漏洞管理就毫无意义。如果你没有测试，你怎么知道它起作用呢?那么，你怎么知道该专注于什么呢?这份清单可能是没完没了的，而且很难知道什么才是真正重要的。在本文中，我们将帮助你确定跟踪漏2025-12-07
当网络安全事件发生时，这不仅仅是一个孤立的事件。对于许多CISO来说，它重塑了他们对韧性、风险管理乃至工作中个人福祉的看法。几位安全领袖反思了从实际事件中汲取的教训，并强调了与社区分享这些教训的重要性2025-12-07
最新评论