Golden dMSA:什么是 dMSA 身份验证绕过?

BadSuccessor 可滥用 Windows Server 2025 的 dMSA 冒充域内任意账户（含 Domain Admins）。文章给出在 AD 架构层面阻断 dMSA 迁移滥用的缓解方案（含 PowerShell 代码），可支撑到官方补丁发布。

拿下本地管理员后，下一站是 Domain Admin。本篇覆盖破解 LM 哈希、复用的服务账户口令，以及捕获活跃 Domain Admin 会话等手法。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。

BadSuccessor 允许攻击者创建并滥用 dMSA 冒充任意 AD 用户（含 Domain Admins），且暂无补丁。Semperis DSP 新增一项暴露指标与三项失陷指标，帮助检测并缓解 dMSA 相关的恶意活动。