Janelas de Competição: Pivot

Use esta habilidade apenas como uma especialização posterior, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o caminho do desafio for dominado por movimento de host para host, material de ticket reproduzível ou vantagens de privilégio do Windows.

Início Rápido

1. Comprima o pivot em uma cadeia concreta: ponto de entrada -> artefato recuperado -> caminho de reprodução -> host de pivot -> capacidade resultante.
2. Separe o material de credencial armazenado do privilégio utilizável.
3. Mantenha as evidências do host, evidências do ticket e efeito do privilégio em uma única linha do tempo.
4. Registre o serviço ou host aceitador exato para cada artefato reproduzido.
5. Reproduza o menor pivot que ainda comprove a vantagem de privilégio.

Fluxo de Trabalho

1. Recuperar o Material de Reprodução

• Inspecione SAM, SECURITY, SYSTEM, NTDS, DPAPI, segredos LSA, armazenamentos de navegador, histórico do PowerShell, ETW, Sysmon e logs de eventos no caminho ativo.
• Diferencie material de senha, hash, ticket, cookie, blob de cofre ou gMSA pela forma como ele pode ser realmente usado.

2. Rastrear a Cadeia de Pivot

• Mapeie o protocolo realmente utilizado: WinRM, SMB, RDP, WMI, compartilhamentos administrativos, registro remoto ou controle de serviço.
• Quando o Kerberos for relevante, registre SPN, delegação, dados PAC ou de grupo, tipo de criptografia e o serviço aceitador.
• Quando as vantagens do AD forem relevantes, inspecione ACLs, links de GPO, SIDHistory, delegação, modelos de certificado e direitos de replicação.

3. Relatar a Vantagem

• Mantenha o caminho de pivot concreto e reproduzível.
• Declare qual artefato cruzou qual limite e qual capacidade apareceu no host de destino.

Leia esta Referência

• Carregue references/windows-pivot.md para a lista de verificação de pivot, bloco de evidências Kerberos e erros comuns de reprodução.
• Se a tarefa for especificamente sobre chaves mestras DPAPI, armazenamentos de navegador ou cofre, blobs protegidos ou comprovação de onde um segredo DPAPI recuperado é aceito, prefira $competition-dpapi-credential-chain.
• Se a tarefa for especificamente sobre memória LSASS, caches de ticket, material de sessão reproduzível ou extração de credenciais residentes no host, prefira $competition-lsass-ticket-material.
• Se a tarefa for especificamente sobre vantagens de delegação, confiança de SPN, fluxo S4U ou qual serviço aceita o ticket delegado, prefira $competition-kerberos-delegation.
• Se a parte difícil for autenticação forçada, primitivas de coerção, alvos de retransmissão ou o serviço que aceita a autenticação retransmitida, prefira $competition-relay-coercion-chain.

O Que Preservar

• Nomes de host, IDs de logon, SIDs, SPNs, campos de ticket, nomes de serviço e IDs de evento
• Ponto de reprodução exato e sessão de logon resultante, token ou alteração de grupo
• Artefatos de host brutos e linha do tempo derivada separadamente