goLoL

goLoL è uno scanner per host Windows con doppio supporto per i binari LOLBAS e LOLDrivers. Elenca le tecniche LOLBAS eseguibili al tuo attuale livello di privilegi (con mapping MITRE ATT&CK) e può scansionare i file .sys locali per trovare corrispondenze di hash con LOLDrivers vulnerabili/maligni. Nota: questo strumento non è OPSEC-safe. Autore: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Caratteristiche

• Catalogo LOLBAS live: recupera le ultime voci da lolbas-project.github.io
• Rilevamento su disco: risolve i percorsi documentati nelle posizioni locali %WINDIR%, %ProgramFiles%, %USERPROFILE% e WindowsApps
• Filtro basato sui privilegi: mostra solo le tecniche eseguibili al tuo livello attuale
• Etichette MITRE ATT&CK: gli ID delle tecniche sono mappati a nomi leggibili (es. T1003.003: NTDS)
• Ordinamento flessibile: raggruppa per binario, livello di privilegio o tecnica ATT&CK
• Modalità driver: calcola l'hash dei file .sys locali e li confronta con il catalogo JSON live di LOLDrivers
• Modalità di output plain: output solo ASCII per telnet, reverse shell e altri terminali instabili
• Scansione leggera: controlli del filesystem tramite API Go; il rilevamento del gruppo admin usa net localgroup (un solo processo figlio su Windows)

Livelli di privilegio

I comandi di livello admin possono comunque richiedere una shell elevata anche se il tuo account è nel gruppo Administrators. Le voci di livello SYSTEM sono nascoste a meno che il token del processo sia SYSTEM (S-1-5-18).

Requisiti

• Windows (obiettivo principale; le build non-Windows usano stub per i controlli dei privilegi)
• Go 1.21+ (il progetto usa Go 1.26.2)
• Accesso alla rete per scaricare i cataloghi LOLBAS/LOLDrivers a ogni esecuzione (non memorizzati nella cache offline)

Installazione

Installazione remota (richiede una release taggata su GitHub, es. v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

Il binario viene inserito nella tua GOPATH/bin (o ~/go/bin). Su Windows, assicurati che quella directory sia nel tuo PATH.

Clonazione e build:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Utilizzo

goLoL supporta due modalità di scansione:

• Modalità LOLBAS (predefinita) per binari living-off-the-land e tecniche filtrate per privilegi
• Modalità LOLDrivers tramite -driver per corrispondenze di hash di driver vulnerabili/maligni

Esegui dalla root del modulo (richiesto per i pacchetti internal/):

go run .

Compila un binario (consigliato.. rimuove le informazioni di debug, ~30% più piccolo):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w rimuove la tabella dei simboli e i dati di debug DWARF. Una go build predefinita di questo progetto è di ~9.5 MB; con quei flag scende a ~6.4 MB.

Flag

Alias di ordinamento: b, priv / p, mitre / a. Valori non validi stampano un errore e mostrano la guida.

Esempi

# Default: grouped by binary name (A-Z)
go run .

# Driver mode (scan local .sys files against LOLDrivers hashes)
go run . -driver

# Look up a single binary
go run . -s certutil
.\golol.exe -s certutil.exe

# Admin tier first, then user tier (SYSTEM tier first when running as SYSTEM)
go run . -sort privilege

# Sorted by MITRE ATT&CK ID
go run . -sort attack

# Reverse shell / telnet friendly output
go run . -plain

# Combine flags
go run . -plain -sort attack

Esempio di output

Conteggi e binari variano in base all'host. Lo screenshot all'inizio di questo README mostra la modalità interattiva (terminale a colori, raggruppati per binario).

Modalità plain (-plain):

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

Come funziona

1. Rileva il contesto di privilegio del processo corrente (utente standard, membro del gruppo admin locale o SYSTEM).
2. In modalità predefinita, scarica e analizza il catalogo JSON di LOLBAS.
3. Per ogni voce LOLBAS, rimappa i percorsi documentati sul filesystem locale e verifica se il binario esiste.
4. Filtra i comandi per livello di privilegio e deduplica in base al percorso su disco risolto.
5. In modalità -driver, scarica il catalogo JSON di LOLDrivers, calcola l'hash dei file .sys locali e segnala le corrispondenze di hash.
6. Stampa i risultati con percorsi, tecnica ATT&CK, caso d'uso e comando di esempio (o metadati di corrispondenza del driver in modalità -driver).

Struttura del progetto

.
├── docs/
│   └── screenshot.png            # README screenshot
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # MITRE ATT&CK ID to label map
│   └── privileges/
│       ├── privileges_windows.go # Token / Administrators group checks
│       └── privileges_stub.go    # Non-Windows stub
├── go.mod
└── go.sum

Disclaimer

Solo per test di sicurezza autorizzati, uso in laboratorio e formazione. Esegui solo su sistemi che possiedi o per cui hai esplicito permesso di valutazione. Le voci LOLBAS descrivono tecniche che potrebbero essere abusate dagli attaccanti, quindi usale in modo responsabile. L'autore non è responsabile per un uso improprio.

Le tecniche e i metadati provengono dal LOLBAS Project e da LOLDrivers. goLoL non è affiliato né approvato da nessuno dei due progetti.

Licenza

MIT