goLoL

goLoL est un scanner d'hôtes Windows prenant en charge les binaires LOLBAS et LOLDrivers. Il liste les techniques LOLBAS exécutables à votre niveau de privilège actuel (avec les correspondances MITRE ATT&CK) et peut analyser les fichiers .sys locaux pour détecter les correspondances de hachage de pilotes vulnérables/malicieux. Remarque : Cet outil n'est pas sécurisé du point de vue OPSEC. Auteur : Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Fonctionnalités

• Catalogue LOLBAS en direct : récupère les dernières entrées depuis lolbas-project.github.io
• Détection sur disque : résout les chemins documentés vers les emplacements locaux %WINDIR%, %ProgramFiles%, %USERPROFILE% et WindowsApps
• Filtrage sensible aux privilèges : affiche uniquement les techniques exécutables à votre niveau actuel
• Étiquettes MITRE ATT&CK : identifiants de techniques mappés à des noms lisibles (par ex. T1003.003 : NTDS)
• Tri flexible : regrouper par binaire, niveau de privilège ou technique ATT&CK
• Mode pilote : hache les fichiers .sys locaux et les compare au catalogue JSON en direct de LOLDrivers
• Mode de sortie simple : sortie ASCII uniquement pour telnet, shells inversés et autres terminaux instables
• Analyse légère : vérifications du système de fichiers via les API Go ; détection du groupe administrateur via net localgroup (un seul processus enfant sous Windows)

Niveaux de privilèges

Les commandes de niveau administrateur peuvent nécessiter un shell élevé même si votre compte appartient au groupe Administrateurs. Les entrées de niveau SYSTEM sont masquées sauf si le jeton de processus est SYSTEM (S-1-5-18).

Configuration requise

• Windows (cible principale ; les builds non Windows désactivent les vérifications de privilèges)
• Go 1.21+ (le projet utilise Go 1.26.2)
• Accès réseau pour récupérer les catalogues LOLBAS/LOLDrivers à chaque exécution (non mis en cache hors ligne)

Installation

Installation à distance (nécessite une version taguée sur GitHub, par ex. v0.1.0) :

go install github.com/aaron-kidwell/goLoL@latest

Le binaire est placé dans votre GOPATH/bin (ou ~/go/bin). Sous Windows, assurez-vous que ce répertoire figure dans votre PATH.

Clonage et compilation :

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Utilisation

goLoL prend en charge deux modes d'analyse :

• Mode LOLBAS (par défaut) pour les binaires "living-off-the-land" et les techniques filtrées par privilège
• Mode LOLDrivers via -driver pour les correspondances de hachage de pilotes vulnérables/malicieux

Exécutez depuis la racine du module (nécessaire pour les packages internal/) :

go run .

Construisez un binaire (recommandé... supprime les informations de débogage, ~30 % plus petit) :

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w supprime la table des symboles et les données de débogage DWARF. Une compilation go build par défaut de ce projet fait environ 9,5 Mo ; avec ces indicateurs, elle tombe à environ 6,4 Mo.

Paramètres

Alias de tri : b, priv / p, mitre / a. Les valeurs invalides affichent une erreur et montrent l'aide.

Exemples

# Par défaut : regroupé par nom de binaire (A-Z)
go run .

# Mode pilote (analyse des fichiers .sys locaux par rapport aux hachages LOLDrivers)
go run . -driver

# Recherche d'un seul binaire
go run . -s certutil
.\golol.exe -s certutil.exe

# Niveau administrateur en premier, puis utilisateur (niveau SYSTEM en premier quand vous êtes SYSTEM)
go run . -sort privilege

# Trié par identifiant MITRE ATT&CK
go run . -sort attack

# Sortie compatible shell inversé / telnet
go run . -plain

# Combinaison de paramètres
go run . -plain -sort attack

Exemple de sortie

Les compteurs et les binaires varient selon l'hôte. La capture d'écran en haut de ce README montre le mode interactif (terminal en couleur, regroupé par binaire).

Mode simple (-plain) :

[*] Vérification du jeton de processus...
[*] Récupération du catalogue LOLBAS...
[+] 147 binaires trouvés, 299 techniques

==============================================================
Rôle :        administrateur
Tri :        binary
Binaires :    147
Techniques :  299
==============================================================

  [1] Esentutl.exe
  Chemin :          C:\Windows\System32\esentutl.exe
  ...

Fonctionnement

1. Détecte le contexte de privilège du processus actuel (utilisateur standard, membre du groupe administrateur local ou SYSTEM).
2. En mode par défaut, télécharge et analyse le catalogue JSON LOLBAS.
3. Pour chaque entrée LOLBAS, remappe les chemins documentés vers le système de fichiers local et vérifie si le binaire existe.
4. Filtre les commandes par niveau de privilège et dédoublonne par chemin résolu sur disque.
5. En mode -driver, télécharge le catalogue JSON LOLDrivers, hache les fichiers .sys locaux et signale les correspondances de hachage.
6. Affiche les résultats avec les chemins, la technique ATT&CK, le cas d'utilisation et la commande exemple (ou les métadonnées de correspondance de pilote en mode -driver).

Structure du projet

.
├── docs/
│   └── screenshot.png            # Capture d'écran du README
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # Correspondance ID MITRE ATT&CK vers libellé
│   └── privileges/
│       ├── privileges_windows.go # Vérification de jeton / groupe Administrateurs
│       └── privileges_stub.go    # Stub non Windows
├── go.mod
└── go.sum

Avertissement

Pour des tests de sécurité autorisés, une utilisation en laboratoire et à des fins éducatives uniquement. Exécutez uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite d'évaluer. Les entrées LOLBAS décrivent des techniques pouvant être abusées par des attaquants, utilisez-les de manière responsable. L'auteur n'est pas responsable de toute utilisation abusive.

Les techniques et métadonnées proviennent du LOLBAS Project et de LOLDrivers. goLoL n'est affilié ni approuvé par aucun de ces projets.

Licence

MIT