goLoL

goLoL は、LOLBAS バイナリと LOLDrivers の両方をサポートする Windows ホストスキャナです。現在の特権レベルで実行可能な LOLBAS テクニックを一覧表示し（MITRE ATT&CK マッピング付き）、ローカルの .sys ファイルをスキャンして、脆弱性または悪意のある LOLDrivers ハッシュの一致を検出します。 注記: これは OPSEC 上安全なツールではありません。 作者: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

特徴

• ライブ LOLBAS カタログ: lolbas-project.github.io から最新エントリを取得します
• ディスク上の検出: ドキュメント化されたパスをローカルの %WINDIR%、%ProgramFiles%、%USERPROFILE%、WindowsApps の場所に解決します
• 特権に応じたフィルタリング: 現在の階層で実行可能なテクニックのみを表示します
• MITRE ATT&CK ラベル: テクニック ID を読みやすい名前にマッピングします（例: T1003.003: NTDS）
• 柔軟な並べ替え: バイナリ、特権階層、または ATT&CK テクニックごとにグループ化します
• ドライバモード: ローカルの .sys ファイルをハッシュ化し、ライブの LOLDrivers JSON カタログと照合します
• プレーン出力モード: telnet、リバースシェル、その他の不安定な端末向けの ASCII のみの出力
• 軽量スキャン: Go API によるファイルシステムチェック。管理者グループ検出には net localgroup を使用（Windows では子プロセス 1 つ）

特権階層

管理者階層のコマンドは、アカウントが Administrators グループに属している場合でも、昇格したシェルが必要になる場合があります。SYSTEM 階層のエントリは、プロセストークンが SYSTEM（S-1-5-18）でない限り非表示になります。

要件

• Windows（主要ターゲット。非 Windows ビルドでは特権チェックがスタブ化されます）
• Go 1.21+（プロジェクトは Go 1.26.2 を使用）
• 毎回の実行時に LOLBAS/LOLDrivers カタログを取得するためのネットワークアクセス（オフラインでキャッシュされません）

インストール

リモートインストール（GitHub のタグ付きリリースが必要です。例: v0.1.0）:

go install github.com/aaron-kidwell/goLoL@latest

バイナリは GOPATH/bin（または ~/go/bin）に配置されます。Windows では、そのディレクトリが PATH に含まれていることを確認してください。

クローンしてビルド:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

使用方法

goLoL は 2 つのスキャンモードをサポートしています:

• LOLBAS モード（デフォルト）: living-off-the-land バイナリと特権フィルタリングされたテクニック用
• LOLDrivers モード: -driver により、脆弱性のある/悪意のあるドライバハッシュの一致を検出

モジュールルートから実行します（internal/ パッケージに必要）:

go run .

バイナリをビルドします（推奨。デバッグ情報を削除し、約 30% 小さくなります）:

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w はシンボルテーブルと DWARF デバッグデータを削除します。このプロジェクトのデフォルトの go build は約 9.5 MB ですが、これらのフラグを使用すると約 6.4 MB になります。

フラグ

並べ替えエイリアス: b、priv / p、mitre / a。無効な値はエラーを表示してヘルプを表示します。

例

# デフォルト: バイナリ名でグループ化（A-Z）
go run .

# ドライバモード（ローカルの .sys ファイルを LOLDrivers ハッシュに対してスキャン）
go run . -driver

# 単一バイナリを検索
go run . -s certutil
.\golol.exe -s certutil.exe

# 管理者階層を最初に、次にユーザー階層（SYSTEM で実行時は SYSTEM 階層が最初）
go run . -sort privilege

# MITRE ATT&CK ID で並べ替え
go run . -sort attack

# リバースシェル / telnet 向け出力
go run . -plain

# フラグの組み合わせ
go run . -plain -sort attack

出力例

件数やバイナリはホストによって異なります。この README の上部にあるスクリーンショットは、インタラクティブモード（色付きターミナル、バイナリごとにグループ化）を示しています。

プレーンモード（-plain）:

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

仕組み

1. 現在のプロセス特権コンテキスト（標準ユーザー、ローカル管理者グループのメンバー、または SYSTEM）を検出します。
2. デフォルトモードでは、LOLBAS JSON カタログをダウンロードして解析します。
3. 各 LOLBAS エントリについて、ドキュメント化されたパスをローカルファイルシステムに再マッピングし、バイナリが存在するかどうかを確認します。
4. コマンドを特権階層でフィルタリングし、解決されたディスク上のパスで重複を排除します。
5. -driver モードでは、LOLDrivers JSON カタログをダウンロードし、ローカルの .sys ファイルをハッシュ化して、ハッシュの一致を報告します。
6. パス、ATT&CK テクニック、ユースケース、およびコマンド例（または -driver モードではドライバ一致メタデータ）とともに結果を出力します。

プロジェクト構成

.
├── docs/
│   └── screenshot.png            # README screenshot
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # MITRE ATT&CK ID to label map
│   └── privileges/
│       ├── privileges_windows.go # Token / Administrators group checks
│       └── privileges_stub.go    # Non-Windows stub
├── go.mod
└── go.sum

免責事項

許可を得たセキュリティテスト、ラボでの使用、教育のみを目的としています。所有しているシステム、または評価する明示的な許可を得たシステムに対してのみ実行してください。LOLBAS エントリは攻撃者によって悪用される可能性のあるテクニックを説明しているため、責任を持って使用してください。作者は誤用について責任を負いません。

テクニックとメタデータは、LOLBAS Project と LOLDrivers から取得しています。goLoL はこれらのプロジェクトとは提携しておらず、これらのプロジェクトによる推奨も受けていません。

ライセンス

MIT