competition-lsass-ticket-material

競技会 LSASS チケット素材

このスキルは、$ctf-sandbox-orchestrator がすでに有効であり、サンドボックスの前提、ノードの所有権、および証拠の優先順位を確立した後にのみ、下流の専門特化として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

このスキルは、決定的なホスト上の成果物が LSASS、チケットキャッシュ、または隣接する資格情報素材に存在し、困難な部分が何がリプレイ可能であるかを証明することである場合に使用します。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。

クイックスタート

1. 生の資格情報素材と、実際に使用可能なリプレイ経路を分離します。
2. 広範な結論を出す前に、ログオンセッション、LUID、チケットキャッシュ、パッケージ、アカウント、および対象サービスを記録します。
3. ホスト上の成果物、抽出されたシークレット、リプレイ試行、およびその結果としての受理を 1 つのチェーンに保ちます。
4. パスワード、ハッシュ、チケット、DPAPI シークレット、SSP 残留物、およびトークンを、それぞれが実際にどこで使用できるかによって区別します。
5. 決定的な経路を証明する、最小のホスト成果物から特権受理までのパスを再現します。

ワークフロー

1. LSASS および隣接する資格情報状態をマッピングする

• ログオンセッション、LUID、チケットキャッシュ、パッケージ名、SSP、DPAPI コンテキスト、およびアクティブなパスに関連するサービスアカウント素材を記録します。
• 決定的な値が TGT、サービストークン、委任チケット、DPAPI シークレット、平文、ハッシュ、またはパッケージ固有のシークレットのいずれであるかをメモします。
• ホストのソース、アカウントコンテキスト、およびキャッシュの場所を結び付けておきます。

2. リプレイまたは受理を証明する

• 抽出された素材がどこで受理されるかを示します: SMB、WinRM、サービストークンの使用、DPAPI のアンラップ、Schannel、または別のホストもしくはサービスの経路。
• SPN、対象ホスト、ログオンセッション、チケットフラグ、暗号化タイプ、および結果としての特権またはトークンの変更を記録します。
• 存在する素材と、このパスで実際にリプレイ可能な素材を区別します。

3. 決定的な資格情報チェーンに還元する

• 結果を最小のシーケンスに圧縮します: ホスト成果物 -> 抽出された素材 -> 受理されたリプレイまたはアンラップ -> 結果としての能力。
• 決定的な経路が LSASS メモリ、チケットキャッシュの再利用、DPAPI コンテキスト、または受理するサービスの挙動のどこにあるかを明確に述べます。
• タスクが完全なホスト間ピボットに広がる場合は、より厳密な Windows ピボットスキルに戻してください。

このリファレンスを読む

• セッションチェックリスト、リプレイチェックリスト、および証拠のパッケージ化については、references/lsass-ticket-material.md をロードしてください。
• タスクが特に DPAPI マスターキー、保護された BLOB、ブラウザまたはボールトストア、あるいは復元されたどの DPAPI シークレットが受理されるかを証明することに関する場合は、$competition-dpapi-credential-chain を優先してください。

保持すべきもの

• LUID、セッション ID、チケットタイプ、SPN、暗号化タイプ、パッケージ名、およびキャッシュまたはメモリのソース
• 正確に受理するホストまたはサービス、および結果としての特権またはログオンへの影響
• 経路を証明する、最小のホスト成果物からリプレイまでの 1 つのシーケンス