goLoL

goLoL ist ein Windows-Host-Scanner mit dualer Unterstützung für LOLBAS-Binärdateien und LOLDrivers. Es listet LOLBAS-Techniken auf, die mit Ihrer aktuellen Berechtigungsstufe ausführbar sind (mit MITRE ATT&CK-Zuordnungen) und kann lokale .sys-Dateien auf Übereinstimmungen mit gefährlichen/malicious LOLDrivers-Hashes scannen. Hinweis: Dies ist kein OPSEC-sicheres Tool. Autor: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Funktionen

• Live-LOLBAS-Katalog: Ruft die aktuellsten Einträge von lolbas-project.github.io ab
• Lokale Erkennung: Löst dokumentierte Pfade zu lokalen %WINDIR%-, %ProgramFiles%-, %USERPROFILE%- und WindowsApps-Verzeichnissen auf
• Berechtigungsabhängige Filterung: Zeigt nur Techniken an, die auf Ihrer aktuellen Ebene ausführbar sind
• MITRE ATT&CK-Bezeichnungen: Technik-IDs werden lesbaren Namen zugeordnet (z.B. T1003.003: NTDS)
• Flexible Sortierung: Gruppierung nach Binärdatei, Berechtigungsstufe oder ATT&CK-Technik
• Treibermodus: Erstellt Hashes lokaler .sys-Dateien und gleicht sie mit dem Live-LOLDrivers-JSON-Katalog ab
• Plain-Ausgabemodus: ASCII-only-Ausgabe für Telnet, Reverse-Shells und andere instabile Terminals
• Leichtgewichtiger Scan: Dateisystemprüfungen über Go-APIs; Admin-Gruppenerkennung mittels net localgroup (ein untergeordneter Prozess unter Windows)

Berechtigungsstufen

Ihr Kontext	Was Sie sehen
Standardbenutzer	Techniken auf Benutzerebene
Mitglied der lokalen Administratoren	Benutzerebene + Administratorebene
NT AUTHORITY\SYSTEM	Benutzerebene + Administratorebene + SYSTEM-Ebene

Befehle auf Administratorebene erfordern möglicherweise trotzdem eine erhöhte Shell, auch wenn Ihr Konto in der Administratorengruppe ist. Einträge auf SYSTEM-Ebene werden ausgeblendet, es sei denn, das Prozess-Token ist SYSTEM (S-1-5-18).

Anforderungen

• Windows (primäres Ziel; Nicht-Windows-Builds blenden Berechtigungsprüfungen aus)
• Go 1.21+ (Projekt verwendet Go 1.26.2)
• Netzwerkzugriff, um LOLBAS-/LOLDrivers-Kataloge bei jedem Durchlauf abzurufen (nicht offline zwischengespeichert)

Installation

Remote-Installation (erfordert ein getaggtes Release auf GitHub, z.B. v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

Die Binärdatei wird in Ihrem GOPATH/bin (oder ~/go/bin) abgelegt. Stellen Sie unter Windows sicher, dass dieses Verzeichnis in Ihrem PATH ist.

Klonen und bauen:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Verwendung

goLoL unterstützt zwei Scan-Modi:

• LOLBAS-Modus (Standard) für Living-off-the-Land-Binärdateien und berechtigungsgefilterte Techniken
• LOLDrivers-Modus über -driver für Übereinstimmungen mit gefährlichen/malicious Treiber-Hashes

Führen Sie vom Modul-Root aus (erforderlich für internal/-Pakete):

go run .

Erstellen Sie eine Binärdatei (empfohlen … entfernt Debug-Informationen, ~30 % kleiner):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w entfernt die Symboltabelle und DWARF-Debug-Daten. Ein Standard-go build dieses Projekts ist ~9,5 MB groß; mit diesen Flags sinkt es auf ~6,4 MB.

Flags

Flag	Beschreibung
-h, -help	Hilfe anzeigen
-driver	Lokale Treiber scannen und bekannte gefährliche/malicious Übereinstimmungen aus LOLDrivers auflisten
-plain	ASCII-only-Ausgabe (keine Farben, Unicode oder Cursorsteuerung)
-s, -search	Eine Binärdatei nach Namen anzeigen (certutil oder certutil.exe); meldet, wenn nicht auf der Festplatte vorhanden
-sort	Ergebnisse sortieren: binary (Standard), privilege oder attack

Sortier-Aliase: b, priv / p, mitre / a. Ungültige Werte geben einen Fehler aus und zeigen die Hilfe.

Beispiele

# Standard: gruppiert nach Binärdateiname (A-Z)
go run .

# Treibermodus (lokale .sys-Dateien gegen LOLDrivers-Hashes scannen)
go run . -driver

# Eine einzelne Binärdatei nachschlagen
go run . -s certutil
.\golol.exe -s certutil.exe

# Zuerst Admin-Ebene, dann Benutzerebene (SYSTEM-Ebene zuerst, wenn unter SYSTEM ausgeführt)
go run . -sort privilege

# Sortiert nach MITRE ATT&CK-ID
go run . -sort attack

# Reverse-Shell-/Telnet-freundliche Ausgabe
go run . -plain

# Flags kombinieren
go run . -plain -sort attack

Beispielausgabe

Anzahl und Binärdateien variieren je nach Host. Der Screenshot oben in dieser README zeigt den interaktiven Modus (farbiges Terminal, gruppiert nach Binärdatei).

Plain-Modus (-plain):

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

Funktionsweise

1. Erkennt den aktuellen Berechtigungskontext des Prozesses (Standardbenutzer, Mitglied der lokalen Admin-Gruppe oder SYSTEM).
2. Im Standardmodus wird der LOLBAS-JSON-Katalog heruntergeladen und geparst.
3. Für jeden LOLBAS-Eintrag werden dokumentierte Pfade auf das lokale Dateisystem abgebildet und geprüft, ob die Binärdatei existiert.
4. Befehle werden nach Berechtigungsstufe gefiltert und nach aufgelöstem lokalen Pfad dedupliziert.
5. Im -driver-Modus wird der LOLDrivers-JSON-Katalog heruntergeladen, lokale .sys-Dateien werden gehasht und Hash-Übereinstimmungen gemeldet.
6. Ergebnisse werden mit Pfaden, ATT&CK-Technik, Anwendungsfall und Beispielbefehl ausgegeben (bzw. Treiber-Match-Metadaten im -driver-Modus).

Komponente	Ort
LOLBAS-Katalog	https://lolbas-project.github.io/api/lolbas.json
LOLDrivers-Katalog	https://www.loldrivers.io/api/drivers.json
Berechtigungserkennung	internal/privileges
MITRE-Techniknamen	internal/mitre
Pfadauflösung & Ausgabe	main.go

Projektstruktur

.
├── docs/
│   └── screenshot.png            # README-Screenshot
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # MITRE ATT&CK-ID-zu-Bezeichnungszuordnung
│   └── privileges/
│       ├── privileges_windows.go # Token-/Administratorengruppen-Prüfungen
│       └── privileges_stub.go    # Nicht-Windows-Stub
├── go.mod
└── go.sum

Haftungsausschluss

Nur für autorisierte Sicherheitstests, Laborgebrauch und Schulungen. Führen Sie es nur gegen Systeme aus, die Ihnen gehören oder für die Sie explizite Berechtigung zur Prüfung haben. LOLBAS-Einträge beschreiben Techniken, die von Angreifern missbraucht werden können – nutzen Sie es daher verantwortungsvoll. Der Autor haftet nicht für Missbrauch.