用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在编排器已激活并确立沙箱假设、节点归属与证据优先级后使用。适用于决定性主机证据位于 LSASS、票据缓存或相邻凭据材料中，且难点在于证明哪些材料可重放的情况。默认用简体中文回复，除非用户明确要求英文。
主要能力：区分原始凭据材料与真正可用的重放边；在得出结论前记录登录会话、LUID、票据缓存、包、账户与目标服务；将主机证据、提取的密钥、重放尝试与接受结果串成一条链；按实际可用位置区分密码、哈希、票据、DPAPI 密钥、SSP 残留与令牌；复现最小的“主机证据到被接受权限”路径。
使用方式：先映射 LSASS 与相邻凭据状态，记录登录会话、LUID、票据缓存、包名、SSP、DPAPI 上下文及服务账户材料，标明决定性值是 TGT、服务票据、委派票据、DPAPI 密钥、明文、哈希还是包专用密钥。再证明重放或接受，记录 SPN、目标主机、登录会话、票据标志、加密类型及权限或令牌变化，区分“存在”与“在此路径中可重放”。最后压缩为最小凭据链：主机证据→提取材料→被接受的重放或解包→获得能力，并说明决定性边位于 LSASS 内存、票据缓存复用、DPAPI 上下文还是接受服务行为。若任务扩展为完整主机间横向移动，应交回更严格的 Windows 横向移动技能。
参考与限制：可加载 references/lsass-ticket-material.md 获取会话清单、重放清单与证据打包。若任务专门涉及 DPAPI 主密钥、受保护 blob、浏览器或保管库存储，或证明哪个恢复的 DPAPI 密钥被接受，应优先使用 $competition-dpapi-credential-chain。需保留 LUID、会话 ID、票据类型、SPN、加密类型、包名、缓存或内存来源，以及确切的接受主机或服务与权限效果。资料未提供具体命令、安装方式、收费与平台信息。