competition-dpapi-credential-chain

Competition DPAPI 資格情報チェーン

このスキルは、$ctf-sandbox-orchestrator がすでに有効化され、サンドボックスの前提、ノードの所有権、証拠の優先順位が確立された後にのみ、下流の専門特化として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

決定的な Windows のシークレットが DPAPI で保護されており、どのコンテキストがそれをアンラップするのか、そしてその平文がどこで受け入れられるのかを証明することが難所である場合に、このスキルを使用してください。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。

クイックスタート

1. 保護された blob、マスターキー、復号コンテキスト、最終的な受け入れサービスを分離します。
2. 広範な結論を出す前に、SID、ユーザーまたはマシンのコンテキスト、マスターキーのパス、Vault またはブラウザのストア、および対象のリプレイポイントを記録します。
3. DPAPI のソース成果物、アンラップ手順、平文シークレット、受け入れエッジを 1 つのチェーンにまとめます。
4. ローカルユーザー DPAPI、マシン DPAPI、ドメインバックアップキーの使用、およびアプリケーション固有のラッピングを区別します。
5. 決定的なエッジを証明する、DPAPI から受け入れられたアクセスまでの最小のパスを再現します。

ワークフロー

1. 保護されたシークレットと DPAPI コンテキストをマッピングする

• blob のソース、マスターキーの場所、SID、プロテクターのスコープ、プロファイルパス、資格情報ストア、およびブラウザの暗号化や Vault のメタデータなどのアプリケーションラッパーを記録します。
• 決定的な値が Credential Manager、Vault、ブラウザの Cookie、ブラウザのパスワード、Wi-Fi プロファイル、RDP ファイル、またはカスタムアプリのストレージのどこに存在するかを記録します。
• 保護された成果物、マスターキーの候補、およびアカウントまたはマシンのコンテキストを結び付けておきます。

2. アンラップと受け入れを証明する

• シークレットがどのように復号されるかを示します。ユーザーのログオン素材、マシンのコンテキスト、ドメインバックアップキー、または別の復元されたプロテクターなどです。
• 平文の種類、対象のホストまたはサービス、リプレイ方法、および結果として得られるセッション、トークン、またはデータアクセスを記録します。
• blob の復号が成功したことと、実際にアクセスが受け入れられたことを区別します。

3. 決定的な DPAPI チェーンに絞り込む

• 結果を最小のシーケンスに圧縮します。保護された成果物 -> マスターキーまたはアンラップコンテキスト -> 平文シークレット -> 受け入れられたリプレイまたはアクセス -> 結果として得られる能力。
• 決定的なエッジがマスターキーの復元、DPAPI スコープの混同、アプリケーションラッパーの処理、または復元されたシークレットを受け入れるサービスのどこにあるかを明確に述べます。
• タスクが一般的な LSASS チケット素材や Windows 全体のピボットに広がる場合は、より厳密なホストまたはピボットのスキルに引き継ぎます。

このリファレンスを読む

• blob のチェックリスト、マスターキーのチェックリスト、および証拠のパッケージングについては、references/dpapi-credential-chain.md を読み込んでください。

保持すべきもの

• blob のパス、マスターキーのパス、SID、プロテクターのスコープ、ストア名、およびアプリケーションラッパーの詳細
• 復元された平文によって解錠される、正確な受け入れサービスまたはデータセット
• エッジを証明する、保護された成果物から受け入れられたアクセスまでの 1 つの最小シーケンス