competition-windows-pivot

Competition Windows Pivot

このスキルは、$ctf-sandbox-orchestrator がすでにアクティブで、サンドボックスの前提、ノードの所有権、エビデンスの優先順位が確立されている場合にのみ、下流の専門特化として使用してください。まだそれが行われていない場合は、まず $ctf-sandbox-orchestrator に戻ってください。

このスキルは、チャレンジの経路がホスト間の移動、リプレイ可能なチケット素材、または Windows の権限昇格のエッジによって支配されている場合に使用してください。

ユーザーが明示的に英語を要求しない限り、簡体字中国語で回答してください。

クイックスタート

1. ピボットを具体的なチェーンに圧縮します: 足がかり -> 回収したアーティファクト -> リプレイ経路 -> ピボット先ホスト -> 結果として得られるケイパビリティ。
2. 保存された資格情報素材と、実際に使用可能な権限を区別します。
3. ホストのエビデンス、チケットのエビデンス、権限への影響を 1 つのタイムライン上に保ちます。
4. リプレイするすべてのアーティファクトについて、受け入れる正確なサービスまたはホストを記録します。
5. 権限のエッジを依然として証明できる最小のピボットを再現します。

ワークフロー

1. リプレイ素材を回収する

• アクティブな経路にある SAM、SECURITY、SYSTEM、NTDS、DPAPI、LSA シークレット、ブラウザーストア、PowerShell 履歴、ETW、Sysmon、イベントログを調査します。
• パスワード、ハッシュ、チケット、Cookie、Vault ブロブ、または gMSA 素材を、実際にどこで使用できるかによって区別します。

2. ピボットチェーンを追跡する

• 実際に使用されたプロトコルをマッピングします: WinRM、SMB、RDP、WMI、管理共有、リモートレジストリ、またはサービスコントロール。
• Kerberos が重要となる場合は、SPN、委任、PAC またはグループデータ、暗号化タイプ、受け入れるサービスを記録します。
• AD のエッジが重要となる場合は、ACL、GPO リンク、SIDHistory、委任、証明書テンプレート、レプリケーション権限を調査します。

3. エッジを報告する

• ピボット経路を具体的かつリプレイ可能に保ちます。
• どのアーティファクトがどの境界を越えたのか、そして宛先ホストでどのようなケイパビリティが現れたのかを述べます。

このリファレンスを読む

• ピボットのチェックリスト、Kerberos エビデンスブロック、よくあるリプレイの誤りについては、references/windows-pivot.md を読み込んでください。
• タスクが特に DPAPI マスターキー、ブラウザーまたは Vault ストア、保護されたブロブ、または回収した DPAPI シークレットがどこで受け入れられるかの証明に関する場合は、$competition-dpapi-credential-chain を優先してください。
• タスクが特に LSASS メモリ、チケットキャッシュ、リプレイ可能なセッション素材、またはホスト上に存在する資格情報の抽出に関する場合は、$competition-lsass-ticket-material を優先してください。
• タスクが特に委任のエッジ、SPN 信頼、S4U フロー、またはどのサービスが委任チケットを受け入れるかに関する場合は、$competition-kerberos-delegation を優先してください。
• 困難な部分が強制認証、強制プリミティブ、リレー先、またはリレーされた認証を受け入れるサービスである場合は、$competition-relay-coercion-chain を優先してください。

保持すべきもの

• ホスト名、ログオン ID、SID、SPN、チケットフィールド、サービス名、イベント ID
• 正確なリプレイポイントと、結果として生じるログオンセッション、トークン、またはグループの変更
• 生のホストアーティファクトと派生タイムラインを分けて保持する