Material de Ticket LSASS para Competição

Use esta habilidade apenas como uma especialização downstream, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o artefato decisivo do host estiver no LSASS, caches de ticket ou material de credencial adjacente, e a parte difícil for provar o que é reproduzível.

Responda em Português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Separe o material bruto de credenciais das bordas de reprodução realmente utilizáveis.
2. Registre a sessão de logon, LUID, cache de ticket, pacote, conta e serviço de destino antes de conclusões amplas.
3. Mantenha o artefato do host, o segredo extraído, a tentativa de reprodução e a aceitação resultante em uma única cadeia.
4. Distinga senha, hash, ticket, segredo DPAPI, resíduo SSP e token por onde cada um pode ser realmente usado.
5. Reproduza o menor caminho de artefato de host para privilégio aceito que prova a borda decisiva.

Fluxo de Trabalho

1. Mapear o Estado do LSASS e Credenciais Adjacentes

• Registre sessões de logon, LUIDs, caches de ticket, nomes de pacotes, SSPs, contexto DPAPI e qualquer material de serviço-conta vinculado ao caminho ativo.
• Observe se o valor decisivo é um TGT, ticket de serviço, ticket delegado, segredo DPAPI, texto simples, hash ou segredo específico do pacote.
• Mantenha a origem do host, o contexto da conta e a localização do cache juntos.

2. Provar Reprodução ou Aceitação

• Mostre onde o material extraído é aceito: SMB, WinRM, uso de ticket de serviço, desembrulhamento DPAPI, Schannel ou outra borda de host ou serviço.
• Registre SPN, host de destino, sessão de logon, flags de ticket, tipo de criptografia e privilégio resultante ou alteração de token.
• Distinga o material que está presente do material que é realmente reproduzível neste caminho.

3. Reduzir à Cadeia de Credenciais Decisiva

• Comprima o resultado para a menor sequência: artefato do host -> material extraído -> reprodução ou desembrulhamento aceito -> capacidade resultante.
• Declare claramente se a borda decisiva reside na memória do LSASS, reutilização do cache de ticket, contexto DPAPI ou comportamento do serviço de aceitação.
• Se a tarefa se expandir para pivoteamento completo de host para host, retorne à habilidade de pivoteamento mais restrita do Windows.

Leia esta Referência

• Carregue references/lsass-ticket-material.md para a lista de verificação da sessão, lista de verificação de reprodução e empacotamento de evidências.
• Se a tarefa for especificamente sobre chaves mestras DPAPI, blobs protegidos, lojas de navegador ou cofre, ou provar qual segredo DPAPI recuperado é aceito, prefira $competition-dpapi-credential-chain.

O Que Preservar

• LUIDs, IDs de sessão, tipos de ticket, SPNs, tipos de criptografia, nomes de pacotes e origem do cache ou memória
• O host ou serviço exato que aceita e o privilégio resultante ou efeito de logon
• Uma sequência mínima de artefato de host para reprodução que prova a borda