goLoL

goLoL é um scanner de hosts Windows com suporte duplo para binários LOLBAS e LOLDrivers. Ele lista técnicas LOLBAS executáveis no seu nível de privilégio atual (com mapeamentos MITRE ATT&CK) e pode escanear arquivos .sys locais em busca de correspondências de hashes de drivers vulneráveis/maliciosos do LOLDrivers.
Nota: Esta não é uma ferramenta segura para OPSEC.
Autor: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Funcionalidades

• Catálogo ao vivo do LOLBAS: obtém as entradas mais recentes de lolbas-project.github.io
• Detecção no disco: resolve caminhos documentados para locais locais de %WINDIR%, %ProgramFiles%, %USERPROFILE% e WindowsApps
• Filtragem com consciência de privilégios: mostra apenas técnicas executáveis no seu nível atual
• Rótulos MITRE ATT&CK: IDs de técnica mapeados para nomes legíveis (ex.: T1003.003: NTDS)
• Ordenação flexível: agrupar por binário, nível de privilégio ou técnica ATT&CK
• Modo driver: calcula hash de arquivos .sys locais e compara com o catálogo JSON ao vivo do LOLDrivers
• Modo de saída simples: saída somente ASCII para telnet, shells reversos e outros terminais instáveis
• Escaneamento leve: verificações de sistema de arquivos via APIs Go; detecção do grupo administrador usa net localgroup (um processo filho no Windows)

Níveis de privilégio

Comandos de nível administrador ainda podem exigir um shell elevado, mesmo se sua conta estiver no grupo Administradores. Entradas de nível SYSTEM são ocultadas a menos que o token do processo seja SYSTEM (S-1-5-18).

Requisitos

• Windows (alvo principal; builds não-Windows eliminam as verificações de privilégio)
• Go 1.21+ (o projeto usa Go 1.26.2)
• Acesso à rede para buscar os catálogos LOLBAS/LOLDrivers a cada execução (não armazenados em cache offline)

Instalação

Instalação remota (requer um release com tag no GitHub, ex.: v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

O binário é colocado no seu GOPATH/bin (ou ~/go/bin). No Windows, certifique-se de que esse diretório está no seu PATH.

Clonar e compilar:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Uso

goLoL oferece suporte a dois modos de escaneamento:

• Modo LOLBAS (padrão) para binários "living-off-the-land" e técnicas filtradas por privilégio
• Modo LOLDrivers via -driver para correspondências de hashes de drivers vulneráveis/maliciosos

Execute a partir da raiz do módulo (necessário para pacotes internal/):

go run .

Compile um binário (recomendado… remove informações de debug, ~30% menor):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w remove a tabela de símbolos e dados de debug DWARF. Um go build padrão deste projeto tem ~9,5 MB; com essas flags cai para ~6,4 MB.

Bandeiras

Aliases de ordenação: b, priv / p, mitre / a. Valores inválidos exibem um erro e mostram a ajuda.

Exemplos

# Padrão: agrupado por nome do binário (A-Z)
go run .

# Modo driver (escaneia arquivos .sys locais contra hashes do LOLDrivers)
go run . -driver

# Consultar um único binário
go run . -s certutil
.\golol.exe -s certutil.exe

# Nível administrador primeiro, depois usuário (nível SYSTEM primeiro ao executar como SYSTEM)
go run . -sort privilege

# Ordenado por ID MITRE ATT&CK
go run . -sort attack

# Saída amigável para shell reverso / telnet
go run . -plain

# Combinar bandeiras
go run . -plain -sort attack

Exemplo de saída

Contagens e binários variam por host. A captura de tela no topo deste README mostra o modo interativo (terminal colorido, agrupado por binário).

Modo simples (-plain):

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

Como funciona

1. Detecta o contexto de privilégio do processo atual (usuário padrão, membro do grupo administrador local ou SYSTEM).
2. No modo padrão, baixa e analisa o catálogo JSON do LOLBAS.
3. Para cada entrada do LOLBAS, remapeia os caminhos documentados para o sistema de arquivos local e verifica se o binário existe.
4. Filtra comandos por nível de privilégio e remove duplicatas pelo caminho resolvido no disco.
5. No modo -driver, baixa o catálogo JSON do LOLDrivers, calcula hash de arquivos .sys locais e relata correspondências de hash.
6. Exibe resultados com caminhos, técnica ATT&CK, caso de uso e comando de exemplo (ou metadados de correspondência de driver no modo -driver).

Estrutura do projeto

.
├── docs/
│   └── screenshot.png            # Captura de tela do README
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # Mapa de ID MITRE ATT&CK para rótulo
│   └── privileges/
│       ├── privileges_windows.go # Verificações de token / grupo Administradores
│       └── privileges_stub.go    # Stub para não-Windows
├── go.mod
└── go.sum

Aviso Legal

Para testes de segurança autorizados, uso em laboratório e educação apenas. Execute apenas em sistemas que você possui ou para os quais tem permissão explícita de avaliação. As entradas do LOLBAS descrevem técnicas que podem ser abusadas por atacantes; use com responsabilidade. O autor não se responsabiliza pelo uso indevido.

As técnicas e metadados são provenientes do LOLBAS Project e do LOLDrivers. goLoL não é afiliado nem endossado por nenhum desses projetos.

Licença

MIT