GTFOcli

GTFOcli es una interfaz de línea de comandos para la búsqueda sencilla de binarios que pueden ser utilizados para eludir las restricciones de seguridad locales en sistemas mal configurados.

Tabla de contenidos

• Tabla de contenidos
• Instalación
• Uso
  • Búsqueda de binarios Unix
  • Búsqueda de binarios Windows
  • Búsqueda usando solución dockerizada
  • CTF
• Créditos
• Contribuciones

Instalación

Usando go:

go install github.com/cmd-tools/gtfocli@latest

Usando homebrew:

brew tap cmd-tools/homebrew-tap
brew install gtfocli

Usando docker:

docker pull cmdtoolsowner/gtfocli

Uso

Búsqueda de binarios Unix

Buscar el binario tar:

gtfocli search tar

Buscar el binario tar desde stdin:

echo "tar" | gtfocli search

Buscar binarios listados en un archivo:

cat myBinaryList.txt
/bin/bash
/bin/sh
tar
arp
/bin/tail

gtfocli search -f myBinaryList.txt

Búsqueda de binarios Windows

Buscar el binario Winget.exe:

gtfocli search Winget --os windows

Buscar el binario Winget desde stdin:

echo "Winget" | gtfocli search --os windows

Buscar binarios listados en un archivo:

cat windowsExecutableList.txt
Winget
c:\\Users\\Desktop\\Ssh
Stordiag
Bash
c:\\Users\\Runonce.exe
Cmdkey
c:\dir\subDir\Users\Certreq.exe

gtfocli search -f windowsExecutableList.txt --os windows

Buscar el binario Winget e imprimir la salida en formato yaml (consulte -h para ver los formatos disponibles):

gtfocli search Winget -o yaml --os windows

Búsqueda usando solución dockerizada

Ejemplos:

Buscar el binario Winget e imprimir la salida en formato yaml:

docker run -i cmdtoolsowner/gtfocli search Winget -o yaml --os windows

Buscar el binario tar e imprimir la salida en formato json:

echo 'tar' | docker run -i cmdtoolsowner/gtfocli search -o json

Buscar binarios listados en un archivo montado como volumen en el contenedor:

cat myBinaryList.txt
/bin/bash
/bin/sh
tar
arp
/bin/tail

docker run -i -v $(pwd):/tmp cmdtoolsowner/gtfocli search -f /tmp/myBinaryList.txt

CTF

Un ejemplo de caso de uso común para gtfocli es junto con find:

find / -type f \( -perm 04000 -o -perm -u=s \) -exec gtfocli search {} \; 2>/dev/null

o

find / -type f \( -perm 04000 -o -perm -u=s \) 2>/dev/null | gtfocli search

Créditos

Gracias a GTFOBins y LOLBAS, sin estos proyectos gtfocli nunca habría visto la luz.

Contribuciones

¿Quieres contribuir a este proyecto? ¡Vaya, gracias! Entonces, simplemente haz un fork y envía un pull request.