Binarios y Scripts (y ahora también Librerías) para Vivir de la Tierra

Todos los archivos diferentes se pueden encontrar detrás de una interfaz elegante aquí: https://lolbas-project.github.io (gracias a @ConsciousHacker por este adorno visual y al equipo de https://gtfobins.github.io/). Este repositorio sirve como lugar donde mantenemos los archivos YML que utiliza la interfaz elegante.

Objetivo

El objetivo del proyecto LOLBAS es documentar cada binario, script y librería que pueda ser utilizado para técnicas de Vivir de la Tierra.

Criterios

Un LOLBin/Lib/Script debe:

• Ser un archivo firmado por Microsoft, ya sea nativo del sistema operativo o descargado de Microsoft.
• Tener funcionalidad adicional "inesperada". No es interesante documentar casos de uso previstos.
  • Las excepciones son los saltos de listas blancas de aplicaciones
• Tener una funcionalidad que sea útil para un APT o equipo rojo

La funcionalidad interesante puede incluir:

• Ejecución de código
  • Ejecución de código arbitrario
  • Ejecución directa de otros programas (sin firmar) o scripts (a través de un LOLBin)
• Compilación de código
• Operaciones de archivos
  • Descarga
  • Subida
  • Copia
• Persistencia
  • Persistencia directa utilizando un LOLBin existente
  • Persistencia (por ejemplo, ocultar datos en ADS, ejecutar al inicio de sesión)
• Bypass de UAC
• Robo de credenciales
• Volcado de memoria de procesos
• Vigilancia (por ejemplo, keylogger, rastreo de red)
• Evasión/modificación de registros
• Carga lateral/secuestro de DLL sin ser reubicado en otro lugar del sistema de archivos.

No aprobamos binarios que permitan la coerción netntlm, ya que la mayoría de los binarios de Windows lo permiten. La única excepción son los binarios que lo permiten en puertos que no sean los predeterminados (como rpcping) o que puedan permitir el robo directo de credenciales.

Contribuir

Si has encontrado un nuevo LOLBin o LOLScript que te gustaría contribuir, por favor revisa las pautas de contribución ubicadas aquí: https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Se ha proporcionado una plantilla para el formato requerido aquí: https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

La Historia del LOLBin

La frase "Living off the land" fue acuñada por Christopher Campbell (@obscuresec) y Matt Graeber (@mattifestation) en DerbyCon 3.

El término LOLBins surgió de una discusión en Twitter sobre cómo llamar a los binarios que un atacante puede usar para realizar acciones más allá de su propósito original. Philip Goh (@MathCasualty) propuso LOLBins. Siguió una encuesta altamente científica en Internet, y después de alcanzar un consenso general (69%), el nombre se hizo oficial. Jimmy (@bohops) continuó con LOLScripts. No se realizó ninguna encuesta.

Los hashtags comunes para estos archivos son:

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Nuestro mantenedor principal (@oddvarmoe) de este proyecto dio una charla en DerbyCon 2018 llamada: #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 Esta charla repasa la historia de este proyecto.

Mantenedores

Las siguientes personas ayudan a mantener el proyecto LOLBAS en su tiempo personal:

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Agradecimientos

Como muchos proyectos de código abierto, este es el producto de una comunidad y nos gustaría agradecer a la nuestra:

• El dominio http://lolbins.com ha sido registrado por un individuo desconocido y redirigido a la versión anterior de este proyecto.
• El dominio http://lolbas-project.com ha sido registrado por Jimmy (@bohops).
• Los logotipos del proyecto fueron creados por Adam Nadrowski (@_sup_mane). Los #@&!!@#! amamos.

Aviso

• Consulte NOTICE.md para obtener información sobre la licencia.