mcpField
C
competition-windows-pivot

competition-windows-pivot

github.com/zhaoxuya520安全43.7k93 次安装5 周前更新
代码仓库

关于 competition-windows-pivot

面向 CTF 安全分析的下游技能，用于分析主机间移动、可重放的认证材料和 Windows 权限边界。它指导分析人员将凭据材料对应到具体目标服务，并记录由此获得的能力。

主要功能

  1. 01恢复并分类可重放材料
  2. 02梳理 Windows 横向移动协议与主机
  3. 03追踪 Kerberos 与 Active Directory 权限边
  4. 04关联材料与实际权限变化
  5. 05保留可重放的证据时间线

适用场景

  1. 01调查 Windows 主机间的横向移动
  2. 02验证恢复的票据或凭据由何处接受
  3. 03记录重放材料带来的权限变化

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill competition-windows-pivot

安装后在 Claude Code 中输入/competition-windows-pivot确认已加载。

附带文件agents/openai.yamlreferences/windows-pivot.md

详细介绍

竞赛 Windows 横向移动

仅当 $ctf-sandbox-orchestrator 已经激活，并且已经建立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专项使用。如果尚未做到这一点，请先回到 $ctf-sandbox-orchestrator。

当挑战路径主要由主机到主机的移动、可重放的票据材料或 Windows 权限边界主导时，使用此技能。

除非用户明确要求英文，否则用简体中文回复。

快速开始

  1. 将横向移动压缩为一条具体链路：立足点 -> 恢复的产物 -> 重放路径 -> 横向移动目标主机 -> 获得的能力。
  2. 将存储的凭据材料与可实际使用的权限区分开来。
  3. 将主机证据、票据证据和权限效果放在同一条时间线上。
  4. 记录每个被重放产物的确切接收服务或主机。
  5. 复现仍能证明该权限边界的最小横向移动。

工作流

1. 恢复重放材料
  • 检查当前路径中的 SAM、SECURITY、SYSTEM、NTDS、DPAPI、LSA secrets、浏览器存储、PowerShell 历史记录、ETW、Sysmon 和事件日志。
  • 根据实际可使用的位置，区分密码、哈希、票据、cookie、vault blob 或 gMSA 材料。
2. 追踪横向移动链路
  • 映射实际使用的协议：WinRM、SMB、RDP、WMI、管理共享、远程注册表或服务控制。
  • 当 Kerberos 重要时，记录 SPN、委派、PAC 或组数据、加密类型以及接收服务。
  • 当 AD 边界重要时，检查 ACL、GPO 链接、SIDHistory、委派、证书模板和复制权限。
3. 报告权限边界
  • 保持横向移动路径具体且可重放。
  • 说明哪个产物跨越了哪个边界，以及目标主机上出现了什么能力。

阅读此参考

  • 加载 references/windows-pivot.md，获取横向移动检查清单、Kerberos 证据块和常见重放错误。
  • 如果任务具体涉及 DPAPI 主密钥、浏览器或 vault 存储、受保护 blob，或证明恢复的 DPAPI 密钥在哪里被接受，优先使用 $competition-dpapi-credential-chain。
  • 如果任务具体涉及 LSASS 内存、票据缓存、可重放会话材料或主机驻留凭据提取，优先使用 $competition-lsass-ticket-material。
  • 如果任务具体涉及委派边界、SPN 信任、S4U 流程，或哪个服务接受委派票据，优先使用 $competition-kerberos-delegation。
  • 如果难点是强制身份验证、强制原语、中继目标，或接受中继身份验证的服务，优先使用 $competition-relay-coercion-chain。

需要保留的内容

  • 主机名、登录 ID、SID、SPN、票据字段、服务名称和事件 ID
  • 确切重放点以及由此产生的登录会话、令牌或组变更
  • 原始主机产物与派生时间线分别保留

评论

支持 Markdown