Binaires et scripts Living Off The Land (et maintenant aussi les bibliothèques)

Tous les différents fichiers peuvent être trouvés derrière un joli frontend ici : https://lolbas-project.github.io (merci @ConsciousHacker pour ce petit plaisir visuel et l'équipe de https://gtfobins.github.io/). Ce dépôt sert d'endroit où nous maintenons les fichiers YML utilisés par le joli frontend.

Objectif

L'objectif du projet LOLBAS est de documenter chaque binaire, script et bibliothèque pouvant être utilisés pour les techniques Living Off The Land.

Critères

Un LOLBin/Lib/Script doit :

• Être un fichier signé par Microsoft, soit natif du système d'exploitation, soit téléchargé depuis Microsoft.
• Avoir une fonctionnalité supplémentaire "inattendue". Il n'est pas intéressant de documenter les cas d'usage prévus.
  • Les exceptions sont les contournements de la liste blanche d'applications.
• Avoir une fonctionnalité utile à un APT ou à une équipe rouge.

Les fonctionnalités intéressantes peuvent inclure :

• Exécution de code
  • Exécution de code arbitraire
  • Exécution indirecte d'autres programmes (non signés) ou scripts (via un LOLBin)
• Compilation de code
• Opérations sur les fichiers
  • Téléchargement
  • Envoi (upload)
  • Copie
• Persistance
  • Persistance indirecte utilisant un LOLBin existant
  • Persistance (par exemple, cacher des données dans ADS, exécuter à l'ouverture de session)
• Contournement UAC
• Vol d'identifiants
• Vidage de la mémoire du processus
• Surveillance (par exemple, keylogger, trace réseau)
• Évitement/modification des journaux
• DLL side-loading/détournement sans être déplacé ailleurs dans le système de fichiers.

Nous n'approuvons pas les binaires qui permettent le netntlm coercing, car la plupart des binaires Windows le permettent. La seule exception concerne les binaires qui le permettent sur des ports autres que ceux par défaut (comme rpcping) ou qui peuvent permettre un vol direct d'identifiants.

Contribuer

Si vous avez trouvé un nouveau LOLBin ou LOLScript que vous souhaitez contribuer, veuillez consulter les directives de contribution situées ici : https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Un modèle du format requis est fourni ici : https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

L'Histoire du LOLBin

L'expression « Living off the land » a été inventée par Christopher Campbell (@obscuresec) et Matt Graeber (@mattifestation) à DerbyCon 3.

Le terme LOLBins provient d'une discussion Twitter sur la façon d'appeler les binaires qui peuvent être utilisés par un attaquant pour effectuer des actions au-delà de leur objectif initial. Philip Goh (@MathCasualty) a proposé LOLBins. Un sondage internet hautement scientifique a suivi, et après qu'un consensus général (69%) a été atteint, le nom a été rendu officiel. Jimmy (@bohops) a suivi avec LOLScripts. Aucun sondage n'a été réalisé.

Les hashtags courants pour ces fichiers sont :

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Notre principal mainteneur (@oddvarmoe) de ce projet a donné une conférence à DerbyCon 2018 intitulée : #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 Cette conférence passe en revue l'histoire de ce projet.

Mainteneurs

Les personnes suivantes aident à maintenir le projet LOLBAS sur leur temps personnel :

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Remerciements

Comme beaucoup de projets open-source, celui-ci est le produit d'une communauté et nous tenons à remercier la nôtre :

• Le domaine http://lolbins.com a été enregistré par un individu inconnu et redirigé vers l'ancienne version de ce projet.
• Le domaine http://lolbas-project.com a été enregistré par Jimmy (@bohops).
• Les logos du projet ont été créés par Adam Nadrowski (@_sup_mane). Nous les #@&!!@#! adorons.

Avis

• Veuillez vous référer à NOTICE.md pour les informations de licence.