用途：该技能是 ctf-sandbox-orchestrator 的下游专用技能，仅在后者已激活并已确定沙箱假设、节点归属与证据优先级后使用；否则应先回到 ctf-sandbox-orchestrator。适用于决定性 Windows 机密受 DPAPI 保护、难点在于证明哪个上下文能解包它以及明文在何处被接受的场景。除用户明确要求英文外，回复使用简体中文。
主要能力：区分受保护数据块、主密钥、解密上下文与最终接受服务；记录 SID、用户或机器上下文、主密钥路径、保管库或浏览器存储及目标重放点；将 DPAPI 源工件、解包步骤、明文机密与接受边界串成一条链；区分本地用户 DPAPI、机器 DPAPI、域备份密钥使用及应用特定封装；复现最小的 DPAPI 到被接受访问路径。
使用方式：先映射受保护机密与 DPAPI 上下文，记录数据块来源、主密钥位置、SID、保护范围、配置文件路径、凭据存储及应用封装；再证明解包与接受，说明解密方式、明文类型、目标主机或服务、重放方法及结果；最后压缩为最小链条：受保护工件 -> 主密钥或解包上下文 -> 明文机密 -> 被接受的重放或访问 -> 获得的能力。需加载 references/dpapi-credential-chain.md 获取数据块清单、主密钥清单与证据打包。
适用场景：Credential Manager、Vault、浏览器 Cookie 或密码、Wi-Fi 配置文件、RDP 文件或自定义应用存储中的决定性值。
限制：若任务扩展为通用 LSASS 票据材料或完整 Windows 横向移动，应交回更聚焦的主机或横向技能。需保留数据块路径、主密钥路径、SID、保护范围、存储名称、应用封装细节、被解锁的接受服务或数据集，以及一条最小证明链。