Cadeia de Credenciais DPAPI de Competição

Use esta habilidade apenas como uma especialização downstream depois que $ctf-sandbox-orchestrator já estiver ativa e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o segredo decisivo do Windows for protegido por DPAPI e a parte difícil for provar qual contexto o desembrulha e onde o texto simples é aceito.

Início Rápido

1. Separe o blob protegido, a chave mestra, o contexto de descriptografia e o serviço final aceitador.
2. Registre o SID, o contexto do usuário ou da máquina, o caminho da chave mestra, o cofre ou a loja do navegador e o ponto de repetição alvo antes de conclusões amplas.
3. Mantenha o artefato de origem DPAPI, a etapa de desembrulhamento, o segredo em texto simples e a borda de aceitação em uma única cadeia.
4. Distinga DPAPI de usuário local, DPAPI de máquina, uso de chave de backup de domínio e encapsulamento específico do aplicativo.
5. Reproduza o menor caminho DPAPI para acesso aceito que prove a vantagem decisiva.

Fluxo de Trabalho

1. Mapear Segredo Protegido e Contexto DPAPI

• Registre a origem do blob, a localização da chave mestra, o SID, o escopo do protetor, o caminho do perfil, a loja de credenciais e qualquer encapsulamento de aplicativo, como criptografia de navegador ou metadados do cofre.
• Observe se o valor decisivo reside no Gerenciador de Credenciais, Cofre, cookies do navegador, senhas do navegador, perfis de Wi-Fi, arquivos RDP ou armazenamento de aplicativos personalizados.
• Mantenha o artefato protegido, o candidato a chave mestra e o contexto da conta ou máquina interligados.

2. Provar Desembrulhamento e Aceitação

• Mostre como o segredo é descriptografado: material de logon do usuário, contexto da máquina, chave de backup de domínio ou outro protetor recuperado.
• Registre o tipo de texto simples, o host ou serviço de destino, o método de repetição e a sessão, token ou acesso a dados resultantes.
• Distinga a descriptografia bem-sucedida do blob do acesso aceito real.

3. Reduzir à Cadeia DPAPI Decisiva

• Comprima o resultado na menor sequência: artefato protegido -> chave mestra ou contexto de desembrulhamento -> segredo em texto simples -> repetição ou acesso aceito -> capacidade resultante.
• Declare claramente se a vantagem decisiva reside na recuperação da chave mestra, confusão de escopo DPAPI, manipulação do encapsulamento do aplicativo ou no serviço que aceita o segredo recuperado.
• Se a tarefa se expandir para material genérico de ticket LSASS ou pivoteamento completo do Windows, retorne para a habilidade de host ou pivô mais restrita.

Leia esta Referência

• Carregue references/dpapi-credential-chain.md para a lista de verificação de blobs, lista de verificação de chaves mestras e empacotamento de evidências.

O Que Preservar

• Caminhos de blob, caminhos de chave mestra, SIDs, escopo do protetor, nomes de lojas e detalhes do encapsulamento do aplicativo
• O serviço ou conjunto de dados exato aceitador desbloqueado pelo texto simples recuperado
• Uma sequência mínima de artefato protegido para acesso aceito que prove a vantagem