goLoL

goLoL एक Windows होस्ट स्कैनर है जिसमें LOLBAS बाइनरी और LOLDrivers दोनों के लिए समर्थन है। यह आपके वर्तमान विशेषाधिकार स्तर पर चलाने योग्य LOLBAS तकनीकों (MITRE ATT&CK मैपिंग के साथ) की सूची देता है, और स्थानीय .sys फ़ाइलों को कमजोर/दुर्भावनापूर्ण LOLDrivers हैश मिलान के लिए स्कैन कर सकता है। नोट: यह OPSEC-सुरक्षित उपकरण नहीं है। लेखक: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

विशेषताएँ

• लाइव LOLBAS कैटलॉग: lolbas-project.github.io से नवीनतम प्रविष्टियाँ लाता है
• ऑन-डिस्क डिटेक्शन: दस्तावेजित पथों को स्थानीय %WINDIR%, %ProgramFiles%, %USERPROFILE%, और WindowsApps स्थानों पर हल करता है
• विशेषाधिकार-जागरूक फ़िल्टरिंग: केवल आपके वर्तमान स्तर पर चलाने योग्य तकनीकें दिखाता है
• MITRE ATT&CK लेबल: तकनीकी IDs को पठनीय नामों में मैप किया गया (जैसे T1003.003: NTDS)
• लचीला सॉर्टिंग: बाइनरी, विशेषाधिकार स्तर, या ATT&CK तकनीक द्वारा समूहीकरण
• ड्राइवर मोड: स्थानीय .sys फ़ाइलों का हैश लेता है और लाइव LOLDrivers JSON कैटलॉग से मिलान करता है
• सादा आउटपुट मोड: telnet, रिवर्स शेल, और अन्य अस्थिर टर्मिनलों के लिए ASCII-केवल आउटपुट
• हल्का स्कैनिंग: Go APIs के माध्यम से फाइलसिस्टम जाँच; एडमिन-समूह पहचान net localgroup का उपयोग करती है (Windows पर एक चाइल्ड प्रोसेस)

विशेषाधिकार स्तर

एडमिन-स्तरीय कमांड्स के लिए अभी भी एक एलिवेटेड शेल की आवश्यकता हो सकती है, भले ही आपका खाता Administrators समूह में हो। SYSTEM-स्तरीय प्रविष्टियाँ तब तक छिपाई जाती हैं जब तक प्रोसेस टोकन SYSTEM (S-1-5-18) न हो।

आवश्यकताएँ

• Windows (मुख्य लक्ष्य; गैर-Windows बिल्ड में विशेषाधिकार जाँच स्टब कर दी जाती है)
• Go 1.21+ (प्रोजेक्ट Go 1.26.2 का उपयोग करता है)
• नेटवर्क एक्सेस प्रत्येक रन पर LOLBAS/LOLDrivers कैटलॉग प्राप्त करने के लिए (ऑफ़लाइन कैश नहीं किया जाता)

इंस्टॉल

रिमोट इंस्टॉल (GitHub पर टैग किए गए रिलीज़ की आवश्यकता है, जैसे v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

बाइनरी आपके GOPATH/bin (या ~/go/bin) में रखी जाती है। Windows पर, सुनिश्चित करें कि वह निर्देशिका आपके PATH पर है।

Clone और build करें:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

उपयोग

goLoL दो स्कैन मोड का समर्थन करता है:

• LOLBAS मोड (डिफ़ॉल्ट) लिविंग-ऑफ-द-लैंड बाइनरी और विशेषाधिकार-फ़िल्टर की गई तकनीकों के लिए
• LOLDrivers मोड -driver के माध्यम से कमजोर/दुर्भावनापूर्ण ड्राइवर हैश मिलान के लिए

मॉड्यूल रूट से चलाएँ (internal/ पैकेजों के लिए आवश्यक):

go run .

एक बाइनरी बनाएँ (अनुशंसित.. डीबग जानकारी हटाता है, ~30% छोटा):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w सिम्बल टेबल और DWARF डीबग डेटा हटा देता है। इस प्रोजेक्ट पर एक डिफ़ॉल्ट go build ~9.5 MB का होता है; उन फ्लैग्स के साथ यह घटकर ~6.4 MB रह जाता है।

Flags

सॉर्ट उपनाम: b, priv / p, mitre / a. अमान्य मान एक त्रुटि प्रिंट करते हैं और मदद दिखाते हैं।

उदाहरण

# Default: grouped by binary name (A-Z)
go run .

# Driver mode (scan local .sys files against LOLDrivers hashes)
go run . -driver

# Look up a single binary
go run . -s certutil
.\golol.exe -s certutil.exe

# Admin tier first, then user tier (SYSTEM tier first when running as SYSTEM)
go run . -sort privilege

# Sorted by MITRE ATT&CK ID
go run . -sort attack

# Reverse shell / telnet friendly output
go run . -plain

# Combine flags
go run . -plain -sort attack

उदाहरण आउटपुट

गणना और बाइनरी होस्ट के अनुसार भिन्न होते हैं। इस README के शीर्ष पर स्क्रीनशॉट इंटरैक्टिव मोड (रंगीन टर्मिनल, बाइनरी द्वारा समूहीकृत) दिखाता है।

प्लेन मोड (-plain):

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

यह कैसे काम करता है

1. वर्तमान प्रोसेस विशेषाधिकार संदर्भ (मानक उपयोगकर्ता, स्थानीय एडमिन समूह सदस्य, या SYSTEM) का पता लगाता है।
2. डिफ़ॉल्ट मोड में, LOLBAS JSON कैटलॉग डाउनलोड और पार्स करता है।
3. प्रत्येक LOLBAS प्रविष्टि के लिए, दस्तावेजित पथों को स्थानीय फाइलसिस्टम में पुनर्मैप करता है और जाँचता है कि बाइनरी मौजूद है या नहीं।
4. कमांड्स को विशेषाधिकार स्तर द्वारा फ़िल्टर करता है और हल किए गए ऑन-डिस्क पथ द्वारा डीडुप्लिकेट करता है।
5. -driver मोड में, LOLDrivers JSON कैटलॉग डाउनलोड करता है, स्थानीय .sys फ़ाइलों का हैश लेता है, और हैश मिलानों की रिपोर्ट करता है।
6. परिणामों को पथ, ATT&CK तकनीक, उपयोग के मामले, और उदाहरण कमांड (या -driver मोड में ड्राइवर मिलान मेटाडेटा) के साथ प्रिंट करता है।

प्रोजेक्ट लेआउट

.
├── docs/
│   └── screenshot.png            # README screenshot
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # MITRE ATT&CK ID to label map
│   └── privileges/
│       ├── privileges_windows.go # Token / Administrators group checks
│       └── privileges_stub.go    # Non-Windows stub
├── go.mod
└── go.sum

अस्वीकरण

अधिकृत सुरक्षा परीक्षण, प्रयोगशाला उपयोग, और शिक्षा के लिए ही। केवल उन प्रणालियों पर चलाएँ जिनके मालिक आप हैं या जिनका आकलन करने की आपके पास स्पष्ट अनुमति है। LOLBAS प्रविष्टियाँ उन तकनीकों का वर्णन करती हैं जिनका दुरुपयोग हमलावरों द्वारा किया जा सकता है, इसलिए जिम्मेदारी से उपयोग करें। लेखक दुरुपयोग के लिए उत्तरदायी नहीं है।

तकनीक और मेटाडेटा LOLBAS Project और LOLDrivers से स्रोतित हैं। goLoL किसी भी प्रोजेक्ट से संबद्ध या समर्थित नहीं है।

लाइसेंस

MIT