关于 competition-identity-windows
面向 CTF 的身份与 Windows 分析技能，将身份流、主机工件、企业邮件和横向移动串联起来。需在 `$ctf-sandbox-orchestrator` 设定沙箱假设和证据优先级后使用。
主要功能
- 01梳理身份流与横向路径
- 02关联身份、主机和邮件证据
- 03追踪凭据与实际接受的权限
- 04将专门问题转交相关技能
适用场景
- 01重建凭据重放与主机横向移动链
- 02关联邮箱活动与身份提供方事件
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-identity-windows确认已加载。
附带文件agents/openai.yamlreferences/identity-windows.md
详细介绍
竞赛身份 Windows
仅当 $ctf-sandbox-orchestrator 已经激活并已确立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专项使用。如果尚未进行到这一步，请先回到 $ctf-sandbox-orchestrator。
当挑战围绕身份流转、可重放凭据、Windows 主机工件、企业邮件或横向移动时，使用此技能。
除非用户明确要求英文，否则用简体中文回复。
快速开始
- 在深入分析每个主机工件之前，先梳理身份链或跳板链。
- 将凭据持有与已接受权限区分开来。
- 在一条时间线上关联身份证据、主机证据和邮件证据。
- 将票据、SID、事件 ID、邮箱规则和跳板主机整理为紧凑的证据块。
- 用最小可行链条复现权限边界或邮件效果。
工作流
1. 身份与 AD
- 追踪主体来源、同步路径、令牌或票据签发、声明转换、组解析以及接受服务。
- 当 Kerberos 相关时，记录票据类型、SPN、委派模式、PAC 或组数据、加密类型和缓存位置。
2. Windows 主机与跳板
- 将 SAM、SECURITY、SYSTEM、NTDS、DPAPI、LSA 机密、ETW、Sysmon、PowerShell、服务、任务、WMI、WinRM、SMB 和 RDP 关联为一张跳板图。
- 将移动表示为具体链条：立足点 -> 恢复的工件 -> 重放路径 -> 跳板主机 -> 最终能力。
3. 企业消息传递
- 将钓鱼诱饵、同意日志、邮箱规则和身份提供方事件绑定在一起，使邮件路径与权限路径保持连通。
阅读此参考
- 加载
references/identity-windows.md以获取票据、主机和企业消息传递检查清单。 - 如果任务主要是主机到主机跳板、Kerberos 重放或 Windows 权限链，优先使用
$competition-windows-pivot。 - 如果任务具体涉及约束委派、非约束委派、RBCD、S4U 或票据接受证明，优先使用
$competition-kerberos-delegation。 - 如果任务具体涉及 AD CS、证书模板、EKU、注册权限、PKINIT 或基于证书的权限，优先使用
$competition-ad-certificate-abuse。 - 如果任务具体涉及 OAuth 或 OIDC 声明、回调流程、作用域、同意或已接受的登录身份，优先使用
$competition-oauth-oidc-chain。 - 如果任务具体涉及 DPAPI 主密钥、保管库 blob、浏览器或保管库机密、备份密钥使用或受保护机密到访问的链条，优先使用
$competition-dpapi-credential-chain。 - 如果任务具体涉及 LSASS 内存、票据缓存、LUID 关联材料、DPAPI 上下文或可重放的主机凭据工件，优先使用
$competition-lsass-ticket-material。 - 如果任务具体涉及邮箱规则、转发、OAuth 同意、委派访问或传输层邮件滥用，优先使用
$competition-mailbox-abuse。 - 如果任务具体涉及强制身份验证、中继目标或证明哪个服务接受中继身份验证，优先使用
$competition-relay-coercion-chain。
需要保留的内容
- SID、SPN、票据字段、事件 ID、邮箱规则和重放点
- 精确的主机到主机跳板顺序，以及接受凭据或票据的服务
- 将原始工件、解析摘要和派生时间线作为单独输出
评论
支持 Markdown