mcpField
C
competition-dpapi-credential-chain

competition-dpapi-credential-chain

github.com/zhaoxuya520安全43.7k93 次安装5 周前更新
代码仓库

关于 competition-dpapi-credential-chain

面向 CTF Windows 凭据分析的专项技能，供已启用 `$ctf-sandbox-orchestrator` 的用户追踪 DPAPI 秘密从受保护数据到实际访问的链路。重点区分解密与服务接受凭据，并保留最小证据链。

主要功能

  1. 01梳理 DPAPI 保护数据与上下文
  2. 02区分用户、计算机及域密钥范围
  3. 03验证明文凭据的实际接受情况
  4. 04压缩为可复现的访问链
  5. 05记录 SID、主密钥与存储位置

适用场景

  1. 01追踪凭据管理器或浏览器中的秘密
  2. 02验证解密凭据能否访问目标服务
  3. 03分析应用包装层与 DPAPI 的关系

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-dpapi-credential-chain

安装后在 Claude Code 中输入/competition-dpapi-credential-chain确认已加载。

附带文件agents/openai.yamlreferences/dpapi-credential-chain.md

详细介绍

竞赛 DPAPI 凭据链

仅在 $ctf-sandbox-orchestrator 已激活并已确立沙箱假设、节点归属和证据优先级之后，才将此技能用作下游专业化技能。如果尚未完成这些步骤，请先返回 $ctf-sandbox-orchestrator。

当决定性的 Windows 机密受 DPAPI 保护，且难点在于证明哪个上下文将其解包以及明文在何处被接受时，请使用此技能。

除非用户明确要求英文，否则用简体中文回复。

快速开始

  1. 将受保护 blob、masterkey、解密上下文和最终接受服务分开。
  2. 在得出宽泛结论之前，记录 SID、用户或机器上下文、masterkey 路径、vault 或浏览器存储，以及目标重放点。
  3. 将 DPAPI 源产物、解包步骤、明文机密和接受边界保持在同一条链中。
  4. 区分本地用户 DPAPI、机器 DPAPI、域备份密钥使用，以及应用特定的封装。
  5. 复现最小的 DPAPI 到被接受访问路径，以证明决定性边界。

工作流

1. 映射受保护机密与 DPAPI 上下文
  • 记录 blob 来源、masterkey 位置、SID、保护器作用域、配置文件路径、凭据存储，以及任何应用封装，例如浏览器加密或 vault 元数据。
  • 注明决定性值是位于 Credential Manager、Vault、浏览器 cookie、浏览器密码、Wi-Fi 配置文件、RDP 文件，还是自定义应用存储中。
  • 将受保护产物、masterkey 候选，以及账户或机器上下文保持关联。
2. 证明解包与接受
  • 展示机密如何被解密：用户登录材料、机器上下文、域备份密钥，或其他已恢复的保护器。
  • 记录明文类型、目标主机或服务、重放方法，以及由此产生的会话、令牌或数据访问。
  • 区分成功解密 blob 与实际被接受的访问。
3. 约简为决定性 DPAPI 链
  • 将结果压缩为最小序列：受保护产物 -> masterkey 或解包上下文 -> 明文机密 -> 被接受的重放或访问 -> 由此产生的能力。
  • 明确说明决定性边界位于 masterkey 恢复、DPAPI 作用域混淆、应用封装处理，还是接受已恢复机密的服务中。
  • 如果任务扩展到通用 LSASS 票据材料或完整的 Windows 横向移动，请交回更聚焦的主机或横向移动技能。

阅读此参考

  • 加载 references/dpapi-credential-chain.md 以获取 blob 检查清单、masterkey 检查清单和证据打包。

需要保留的内容

  • Blob 路径、masterkey 路径、SID、保护器作用域、存储名称和应用封装细节
  • 由已恢复明文解锁的确切接受服务或数据集
  • 一个最小的受保护产物到被接受访问序列，以证明该边界

评论

支持 Markdown