用途：该技能是 ctf-sandbox-orchestrator 的下游专项技能，仅在后者已启用并确立沙箱假设、节点归属与证据优先级后使用；适用于决定性 Windows 机密受 DPAPI 保护、难点在于证明由哪个上下文解包、明文在何处被接受的场景。除用户明确要求英文外，用简体中文回复。
主要能力与工作流：一是梳理受保护机密与 DPAPI 上下文，记录数据块来源、主密钥位置、SID、保护范围、配置文件路径、凭据存储，以及浏览器加密或保管库元数据等应用包装，并区分本地用户 DPAPI、机器 DPAPI、域备份密钥与应用专属包装；二是证明解包与接受，说明机密如何解密（用户登录材料、机器上下文、域备份密钥或其他恢复的保护者），记录明文类型、目标主机或服务、重放方式及产生的会话、令牌或数据访问，并区分解密成功与实际被接受；三是压缩为最小链路：受保护制品→主密钥或解包上下文→明文机密→被接受的重放或访问→最终能力，并说明决定性环节落在主密钥恢复、DPAPI 范围混淆、应用包装处理还是接受机密的服务上。
使用方式：先分离受保护数据块、主密钥、解密上下文和最终接受服务；在得出结论前记录 SID、用户或机器上下文、主密钥路径、保管库或浏览器存储及目标重放点；将来源制品、解包步骤、明文机密与接受边保持在一条链中；复现证明该环节的最小 DPAPI 到被接受访问路径。可加载 references/dpapi-credential-chain.md 获取数据块与主密钥清单及证据打包。
限制：若任务扩展到通用 LSASS 票据材料或完整 Windows 横向移动，应交回更紧密的主机或横向移动技能。需保留内容：数据块路径、主密钥路径、SID、保护范围、存储名称与应用包装细节，被恢复明文解锁的确切服务或数据集，以及一条证明该环节的最小制品到访问序列。其余收费、平台与效果信息暂未提供。