Living Off The Land Binaries und Skripte (und jetzt auch Bibliotheken)

Alle verschiedenen Dateien sind hinter einer hübschen Oberfläche zu finden: https://lolbas-project.github.io (Dank an @ConsciousHacker für diesen Augenschmaus und das Team von https://gtfobins.github.io/). Dieses Repository dient als Ort, an dem wir die YML-Dateien pflegen, die von der hübschen Oberfläche verwendet werden.

Ziel

Das Ziel des LOLBAS-Projekts ist es, jede Binärdatei, jedes Skript und jede Bibliothek zu dokumentieren, die für Living-Off-The-Land-Techniken verwendet werden können.

Kriterien

Ein LOLBin/Lib/Script muss:

• Eine von Microsoft signierte Datei sein, entweder nativ im Betriebssystem oder von Microsoft heruntergeladen.
• Zusätzliche "unerwartete" Funktionalität besitzen. Es ist nicht interessant, beabsichtigte Anwendungsfälle zu dokumentieren.
  • Ausnahmen sind Umgehungen von Anwendungs-Whitelisting.
• Funktionalität besitzen, die für ein APT oder Red Team nützlich wäre.

Interessante Funktionalitäten können umfassen:

• Codeausführung
  • Beliebige Codeausführung
  • Durchreicheausführung anderer (unsignierter) Programme oder Skripte (über einen LOLBin)
• Code kompilieren
• Dateioperationen
  • Herunterladen
  • Hochladen
  • Kopieren
• Persistenz
  • Durchreiche-Persistenz unter Verwendung eines vorhandenen LOLBin
  • Persistenz (z.B. Daten in ADS verstecken, bei Anmeldung ausführen)
• UAC-Umgehung
• Anmeldeinformationsdiebstahl
• Auslesen des Prozessspeichers
• Überwachung (z.B. Keylogger, Netzwerkablaufverfolgung)
• Protokollumgehung/-änderung
• DLL-Seitenladung/-Hijacking, ohne dass die DLL an einen anderen Ort im Dateisystem verschoben wird.

Wir genehmigen keine Binärdateien, die NetNTLM-Erzwingung erlauben, da die meisten Windows-Binärdateien dies ermöglichen. Einzige Ausnahme sind Binärdateien, die dies auf anderen als den Standardports erlauben (wie rpcping) oder einen direkten Diebstahl von Anmeldeinformationen ermöglichen.

Mitwirken

Wenn Sie einen neuen LOLBin oder ein neues LOLScript gefunden haben, zu dem Sie beitragen möchten, lesen Sie bitte die Richtlinien für Beiträge hier: https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Eine Vorlage für das erforderliche Format finden Sie hier: https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

Die Geschichte des LOLBin

Der Begriff "Living off the land" wurde von Christopher Campbell (@obscuresec) und Matt Graeber (@mattifestation) auf der DerbyCon 3 geprägt.

Der Begriff LOLBins entstand aus einer Twitter-Diskussion darüber, wie man Binärdateien nennt, die von einem Angreifer verwendet werden können, um Aktionen auszuführen, die über ihren ursprünglichen Zweck hinausgehen. Philip Goh (@MathCasualty) schlug LOLBins vor. Es folgte eine höchst wissenschaftliche Internetumfrage, und nachdem ein allgemeiner Konsens (69%) erreicht war, wurde der Name offiziell gemacht. Jimmy (@bohops) folgte mit LOLScripts. Es wurde keine Umfrage durchgeführt.

Gebräuchliche Hashtags für diese Dateien sind:

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Unser Hauptbetreuer (@oddvarmoe) dieses Projekts hielt einen Vortrag auf der DerbyCon 2018 mit dem Titel: #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 Dieser Vortrag behandelt die Geschichte dieses Projekts.

Betreuer

Die folgenden Personen helfen, das LOLBAS-Projekt in ihrer Freizeit zu betreuen:

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Danksagungen

Wie bei vielen Open-Source-Projekten ist auch dieses das Werk einer Gemeinschaft, und wir möchten uns bei unserer bedanken:

• Die Domain http://lolbins.com wurde von einer unbekannten Person registriert und auf die alte Version dieses Projekts weitergeleitet.
• Die Domain http://lolbas-project.com wurde von Jimmy (@bohops) registriert.
• Die Logos für das Projekt wurden von Adam Nadrowski (@_sup_mane) erstellt. Wir #@&!!@#! lieben sie.

Hinweis

• Bitte beachten Sie die NOTICE.md für Lizenzinformationen