goLoL

goLoL es un escáner de hosts Windows con soporte dual para binarios LOLBAS y LOLDrivers. Enumera las técnicas LOLBAS ejecutables en tu nivel de privilegio actual (con mapeos MITRE ATT&CK) y puede escanear archivos .sys locales en busca de coincidencias de hash de LOLDrivers vulnerables/maliciosos. Nota: Esta no es una herramienta segura para OPSEC. Autor: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Características

• Catálogo LOLBAS en vivo: obtiene las últimas entradas de lolbas-project.github.io
• Detección en disco: resuelve rutas documentadas a ubicaciones locales de %WINDIR%, %ProgramFiles%, %USERPROFILE% y WindowsApps
• Filtrado según privilegios: muestra solo las técnicas ejecutables en tu nivel actual
• Etiquetas MITRE ATT&CK: IDs de técnicas mapeadas a nombres legibles (ej. T1003.003: NTDS)
• Ordenamiento flexible: agrupa por binario, nivel de privilegio o técnica ATT&CK
• Modo controladores: calcula hash de archivos .sys locales y los compara con el catálogo JSON en vivo de LOLDrivers
• Modo de salida simple: salida solo ASCII para telnet, shells inversos y otros terminales inestables
• Escaneo ligero: comprobaciones del sistema de archivos mediante APIs de Go; detección del grupo de administradores usa net localgroup (un proceso hijo en Windows)

Niveles de privilegio

Los comandos de nivel de administrador pueden requerir un shell elevado incluso si tu cuenta está en el grupo de Administradores. Las entradas de nivel SYSTEM están ocultas a menos que el token del proceso sea SYSTEM (S-1-5-18).

Requisitos

• Windows (objetivo principal; las compilaciones no Windows eliminan las comprobaciones de privilegios)
• Go 1.21+ (el proyecto usa Go 1.26.2)
• Acceso a la red para obtener los catálogos LOLBAS/LOLDrivers en cada ejecución (no se almacenan en caché sin conexión)

Instalar

Instalación remota (requiere una versión etiquetada en GitHub, ej. v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

El binario se coloca en tu GOPATH/bin (o ~/go/bin). En Windows, asegúrate de que ese directorio esté en tu PATH.

Clonar y compilar:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Uso

goLoL admite dos modos de escaneo:

• Modo LOLBAS (predeterminado) para binarios "living-off-the-land" y técnicas filtradas por privilegio
• Modo LOLDrivers mediante -driver para coincidencias de hash de controladores vulnerables/maliciosos

Ejecuta desde la raíz del módulo (necesario para los paquetes internal/):

go run .

Compila un binario (recomendado... elimina información de depuración, ~30% más pequeño):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w elimina la tabla de símbolos y los datos de depuración DWARF. Un go build predeterminado de este proyecto ocupa ~9.5 MB; con esas banderas se reduce a ~6.4 MB.

Banderas

Alias de orden: b, priv / p, mitre / a. Los valores no válidos muestran un error y la ayuda.

Ejemplos

# Predeterminado: agrupado por nombre de binario (A-Z)
go run .

# Modo controlador (escanea archivos .sys locales contra hashes de LOLDrivers)
go run . -driver

# Busca un binario específico
go run . -s certutil
.\golol.exe -s certutil.exe

# Primero nivel administrador, luego usuario (nivel SYSTEM primero al ejecutar como SYSTEM)
go run . -sort privilege

# Ordenado por ID de MITRE ATT&CK
go run . -sort attack

# Salida amigable para shell inverso / telnet
go run . -plain

# Combina banderas
go run . -plain -sort attack

Ejemplo de salida

Los recuentos y binarios varían según el host. La captura de pantalla al inicio de este README muestra el modo interactivo (terminal en color, agrupado por binario).

Modo simple (-plain):

[*] Comprobando token del proceso...
[*] Obteniendo catálogo LOLBAS...
[+] Se encontraron 147 binarios, 299 técnicas

==============================================================
Rol:         administrador
Orden:       binary
Binarios:    147
Técnicas:    299
==============================================================

  [1] Esentutl.exe
  Ruta:          C:\Windows\System32\esentutl.exe
  ...

Cómo funciona

1. Detecta el contexto de privilegio del proceso actual (usuario estándar, miembro del grupo de administradores local o SYSTEM).
2. En el modo predeterminado, descarga y analiza el catálogo JSON de LOLBAS.
3. Para cada entrada LOLBAS, reasigna las rutas documentadas al sistema de archivos local y comprueba si el binario existe.
4. Filtra los comandos por nivel de privilegio y elimina duplicados según la ruta resuelta en disco.
5. En el modo -driver, descarga el catálogo JSON de LOLDrivers, calcula el hash de archivos .sys locales y reporta coincidencias de hash.
6. Imprime los resultados con rutas, técnica ATT&CK, caso de uso y comando de ejemplo (o metadatos de coincidencia de controlador en el modo -driver).

Estructura del proyecto

.
├── docs/
│   └── screenshot.png            # Captura de pantalla del README
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # Mapa de ID de MITRE ATT&CK a etiqueta
│   └── privileges/
│       ├── privileges_windows.go # Comprobaciones de token/grupo Administradores
│       └── privileges_stub.go    # Bloque para no Windows
├── go.mod
└── go.sum

Descargo de responsabilidad

Solo para pruebas de seguridad autorizadas, uso en laboratorio y educación. Ejecuta únicamente contra sistemas que poseas o para los que tengas permiso explícito de evaluar. Las entradas LOLBAS describen técnicas que pueden ser abusadas por atacantes, úsalas con responsabilidad. El autor no se hace responsable del mal uso.

Las técnicas y metadatos provienen del LOLBAS Project y de LOLDrivers. goLoL no está afiliado ni respaldado por ninguno de los dos proyectos.

Licencia

MIT