Binary e Script che Vivono del Territorio (e ora anche Librerie)

Tutti i diversi file si trovano dietro a un frontend elegante qui: https://lolbas-project.github.io (grazie a @ConsciousHacker per questo tocco di bellezza e al team di https://gtfobins.github.io/). Questo repository funge da luogo in cui manteniamo i file YML utilizzati dal frontend elegante.

Obiettivo

L'obiettivo del progetto LOLBAS è documentare ogni binario, script e libreria che possono essere utilizzati per tecniche di vivere del territorio.

Criteri

Un LOLBin/Lib/Script deve:

• Essere un file firmato da Microsoft, nativo del sistema operativo o scaricato da Microsoft.
• Avere funzionalità extra "inaspettate". Non è interessante documentare i casi d'uso previsti.
  • Fanno eccezione i bypass delle whitelist delle applicazioni
• Avere funzionalità che sarebbero utili a un APT o a un red team

Le funzionalità interessanti possono includere:

• Esecuzione di codice
  • Esecuzione di codice arbitrario
  • Esecuzione pass-through di altri programmi (non firmati) o script (tramite un LOLBin)
• Compilazione di codice
• Operazioni sui file
  • Download
  • Upload
  • Copia
• Persistenza
  • Persistenza pass-through utilizzando un LOLBin esistente
  • Persistenza (ad es. nascondere dati in ADS, eseguire all'accesso)
• Bypass UAC
• Furto di credenziali
• Dump della memoria di processo
• Sorveglianza (ad es. keylogger, traccia di rete)
• Evasione/modifica dei log
• Side-loading/hijacking di DLL senza essere spostati altrove nel filesystem.

Non approviamo binary che consentono la coercizione netntlm, poiché la maggior parte dei binary Windows lo permette. L'unica eccezione sono i binary che lo consentono su porte diverse da quelle predefinite (come rpcping) o che possono consentire il furto diretto di credenziali.

Contribuire

Se hai trovato un nuovo LOLBin o LOLScript che desideri contribuire, consulta le linee guida per i contributi disponibili qui: https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Un template per il formato richiesto è fornito qui: https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

La Storia del LOLBin

La frase "Living off the land" è stata coniata da Christopher Campbell (@obscuresec) e Matt Graeber (@mattifestation) al DerbyCon 3.

Il termine LOLBins è nato da una discussione su Twitter su come chiamare i binary che possono essere utilizzati da un attaccante per eseguire azioni al di là del loro scopo originale. Philip Goh (@MathCasualty) propose LOLBins. Ne seguì un sondaggio altamente scientifico, e dopo aver raggiunto un consenso generale (69%), il nome fu reso ufficiale. Jimmy (@bohops) seguì con LOLScripts. Non fu fatto alcun sondaggio.

Gli hashtag comuni per questi file sono:

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Il nostro principale manutentore (@oddvarmoe) di questo progetto ha tenuto un intervento al DerbyCon 2018 intitolato: #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 Questo intervento ripercorre la storia di questo progetto.

Manutentori

Le seguenti persone aiutano a mantenere il progetto LOLBAS nel loro tempo libero:

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Ringraziamenti

Come molti progetti open-source, anche questo è il prodotto di una comunità e vorremmo ringraziare la nostra:

• Il dominio http://lolbins.com è stato registrato da un individuo sconosciuto e reindirizzato alla vecchia versione di questo progetto.
• Il dominio http://lolbas-project.com è stato registrato da Jimmy (@bohops).
• I loghi del progetto sono stati creati da Adam Nadrowski (@_sup_mane). Li #@&!!@#! adoriamo.

Avviso

• Fare riferimento a NOTICE.md per le informazioni sulla licenza