Abuso de Caixa de Correio em Competições

Use esta habilidade apenas como uma especialização downstream, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o caminho decisivo passar pelo comportamento da caixa de correio, fluxo de consentimento ou efeitos de roteamento de mensagens, em vez de apenas evidências genéricas de AD.

Responda em Português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Decida se o caminho ativo é phishing-para-consentimento, token-para-caixa de correio, persistência baseada em regras ou redirecionamento de e-mail em nível de transporte.
2. Mantenha as evidências da caixa de correio, evidências de identidade e evidências de rastreamento de mensagens vinculadas ao mesmo usuário, caixa de correio, token ou ID de mensagem.
3. Separe a posse de um token ou a borda de delegação do efeito real da caixa de correio que ele permite.
4. Registre os alvos de encaminhamento, predicados de regras, escopos de consentimento, bordas de caixas de correio compartilhadas e o fluxo de e-mail resultante em blocos compactos.
5. Reproduza o menor efeito de e-mail que comprove persistência, exfiltração ou privilégio.

Fluxo de Trabalho

1. Mapeie o Caminho de Confiança do E-mail

• Identifique o principal, caixa de correio, token ou sessão, concessão de consentimento, borda de delegação, relacionamento de caixa de correio compartilhada ou registro de aplicativo envolvido.
• Registre os escopos de consentimento, permissões da caixa de correio, propriedade da regra, ações de transporte e identificadores de rastreamento de mensagens.
• Distinga os sintomas visíveis pelo cliente do estado do servidor da caixa de correio ou do transporte.

2. Comprove o Efeito da Caixa de Correio

• Correlacione logs de consentimento, sign-ins, rastreamentos de mensagens, regras de caixa de entrada, regras de transporte, configurações de encaminhamento e eventos de auditoria da caixa de correio.
• Mostre qual regra ou token produz qual efeito concreto: encaminhamento silencioso, marcação como lido, exclusão, acesso de delegado ou redirecionamento de mensagens.
• Mantenha IDs de mensagem, pares de remetente ou destinatário e carimbos de data/hora alinhados entre os logs.

3. Reduza à Cadeia de Abuso Decisiva

• Comprima o caminho para a menor sequência: chamariz ou concessão -> token ou borda de delegação -> mutação de caixa de correio ou transporte -> efeito de e-mail resultante.
• Declare claramente se a persistência reside no consentimento, regras da caixa de correio, configuração de transporte ou permissões de caixa de correio compartilhada.
• Se a tarefa se expandir para pivôs de host ou aceitação Kerberos, volte para a habilidade de identidade mais ampla.

Leia esta Referência

• Carregue references/mailbox-abuse.md para a lista de verificação de consentimento, lista de verificação de regras e empacotamento de evidências.

O Que Preservar

• Escopos de consentimento, declarações de token, permissões de caixa de correio, definições de regras, alvos de encaminhamento e IDs de mensagem
• Linhas de rastreamento de mensagens, eventos de auditoria e efeitos de caixa de correio vinculados ao mesmo caminho de e-mail
• A menor sequência reproduzível que prova persistência, exfiltração ou acesso de delegado