mcpField
C
competition-identity-windows

competition-identity-windows

github.com/zhaoxuya520セキュリティ43.7k93 回インストール5 週間前に更新
リポジトリ

competition-identity-windows について

ID フロー、Windows アーティファクト、企業メール、横展開を一連の経路として分析する CTF 向けスキルです。`$ctf-sandbox-orchestrator` によるサンドボックスと証拠の優先順位設定後に使用します。

主な機能

  1. 01ID と横展開経路の整理
  2. 02ID、ホスト、メール証拠の相関
  3. 03資格情報と受け入れられた権限の追跡
  4. 04専門的な課題を関連スキルへ案内

活用シーン

  1. 01資格情報の再利用からホスト横展開までの経路再構成
  2. 02メールボックスの活動と ID プロバイダーのイベントの関連付け

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-identity-windows

インストール後、Claude Code で/competition-identity-windowsを入力して読み込まれたか確認します。

同梱ファイルagents/openai.yamlreferences/identity-windows.md

詳細

競技アイデンティティ Windows

このスキルは、$ctf-sandbox-orchestrator がすでに有効化され、サンドボックスの前提、ノードの所有権、および証拠の優先順位が確立された後の下流の専門化としてのみ使用してください。それがまだ行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

このスキルは、チャレンジがアイデンティティフロー、リプレイ可能な資格情報、Windows ホストのアーティファクト、エンタープライズメール、または横展開を中心としている場合に使用してください。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で返信してください。

クイックスタート

  1. すべてのホストアーティファクトを掘り下げる前に、アイデンティティまたはピボットのチェーンをマッピングします。
  2. 資格情報の所持と、受け入れられた権限を分離します。
  3. アイデンティティの証拠、ホストの証拠、およびメールの証拠を1つのタイムライン上で相関させます。
  4. チケット、SID、イベント ID、メールボックスルール、およびピボットホストをコンパクトな証拠ブロックにまとめておきます。
  5. 実行可能な最小のチェーンから、権限のエッジまたはメールの効果を再現します。

ワークフロー

1. アイデンティティと AD
  • プリンシパルの起源、同期パス、トークンまたはチケットの発行、クレームの変換、グループ解決、および受け入れ側サービスを追跡します。
  • Kerberos が重要となる場合は、チケットの種類、SPN、委任モード、PAC またはグループデータ、暗号化の種類、およびキャッシュの場所を記録します。
2. Windows ホストとピボット
  • SAM、SECURITY、SYSTEM、NTDS、DPAPI、LSA シークレット、ETW、Sysmon、PowerShell、サービス、タスク、WMI、WinRM、SMB、および RDP を1つのピボットグラフとして相関させます。
  • 移動を具体的なチェーンとして表現します: 足場 -> 復元されたアーティファクト -> リプレイパス -> ピボットホスト -> 結果として得られる機能。
3. エンタープライズメッセージング
  • フィッシングのルアー、同意ログ、メールボックスルール、およびアイデンティティプロバイダーのイベントを結び付けておき、メールのパスと権限のパスが接続されたままになるようにします。

このリファレンスを読む

  • チケット、ホスト、およびエンタープライズメッセージングのチェックリストについては、references/identity-windows.md を読み込んでください。
  • タスクが主にホスト間ピボット、Kerberos リプレイ、または Windows 権限チェーンに関するものである場合は、$competition-windows-pivot を優先してください。
  • タスクが具体的に制約付き委任、制約なし委任、RBCD、S4U、またはチケット受け入れの証明に関するものである場合は、$competition-kerberos-delegation を優先してください。
  • タスクが具体的に AD CS、証明書テンプレート、EKU、登録権限、PKINIT、または証明書ベースの権限に関するものである場合は、$competition-ad-certificate-abuse を優先してください。
  • タスクが具体的に OAuth または OIDC のクレーム、コールバックフロー、スコープ、同意、または受け入れられたログインアイデンティティに関するものである場合は、$competition-oauth-oidc-chain を優先してください。
  • タスクが具体的に DPAPI マスターキー、ボールトブロブ、ブラウザまたはボールトのシークレット、バックアップキーの使用、または保護されたシークレットからアクセスへのチェーンに関するものである場合は、$competition-dpapi-credential-chain を優先してください。
  • タスクが具体的に LSASS メモリ、チケットキャッシュ、LUID に紐づく素材、DPAPI コンテキスト、またはリプレイ可能なホスト資格情報アーティファクトに関するものである場合は、$competition-lsass-ticket-material を優先してください。
  • タスクが具体的にメールボックスルール、転送、OAuth 同意、委任アクセス、またはトランスポートレベルのメール悪用に関するものである場合は、$competition-mailbox-abuse を優先してください。
  • タスクが具体的に強制認証、リレーターゲット、またはどのサービスがリレーされた認証を受け入れるかの証明に関するものである場合は、$competition-relay-coercion-chain を優先してください。

保持すべきもの

  • SID、SPN、チケットフィールド、イベント ID、メールボックスルール、およびリプレイポイント
  • 正確なホスト間ピボットの順序、および資格情報またはチケットを受け入れるサービス
  • 生のアーティファクト、解析されたサマリー、および導出されたタイムラインを別々の出力として

コメント

Markdown 対応