GTFOcli

GTFOcli é uma interface de linha de comando para busca fácil de comandos de binários que podem ser usados para contornar restrições de segurança locais em sistemas mal configurados.

Índice

• Índice
• Instalação
• Uso
  • Buscar por binários Unix
  • Buscar por binários Windows
  • Buscar usando solução dockerizada
  • CTF
• Créditos
• Contribuição

Instalação

Usando go:

go install github.com/cmd-tools/gtfocli@latest

Usando homebrew:

brew tap cmd-tools/homebrew-tap
brew install gtfocli

Usando docker:

docker pull cmdtoolsowner/gtfocli

Uso

Buscar por binários Unix

Buscar pelo binário tar:

gtfocli search tar

Buscar pelo binário tar a partir do stdin:

echo "tar" | gtfocli search

Buscar por binários localizados em arquivo;

cat myBinaryList.txt
/bin/bash
/bin/sh
tar
arp
/bin/tail

gtfocli search -f myBinaryList.txt

Buscar por binários do Windows

Buscar pelo binário Winget.exe:

gtfocli search Winget --os windows

Buscar pelo binário Winget a partir do stdin:

echo "Winget" | gtfocli search --os windows

Buscar por binários localizados em arquivo:

cat windowsExecutableList.txt
Winget
c:\\Users\\Desktop\\Ssh
Stordiag
Bash
c:\\Users\\Runonce.exe
Cmdkey
c:\dir\subDir\Users\Certreq.exe

gtfocli search -f windowsExecutableList.txt --os windows

Buscar pelo binário Winget e exibir saída no formato yaml (veja -h para formatos disponíveis):

gtfocli search Winget -o yaml --os windows

Buscar usando solução dockerizada

Exemplos:

Buscar pelo binário Winget e exibir saída no formato yaml:

docker run -i cmdtoolsowner/gtfocli search Winget -o yaml --os windows

Buscar pelo binário tar e exibir saída no formato json:

echo 'tar' | docker run -i cmdtoolsowner/gtfocli search -o json

Buscar por binários localizados em arquivo montado como volume no container:

cat myBinaryList.txt
/bin/bash
/bin/sh
tar
arp
/bin/tail

docker run -i -v $(pwd):/tmp cmdtoolsowner/gtfocli search -f /tmp/myBinaryList.txt

CTF

Um exemplo de caso de uso comum para gtfocli é junto com find:

find / -type f \( -perm 04000 -o -perm -u=s \) -exec gtfocli search {} \; 2>/dev/null

ou

find / -type f \( -perm 04000 -o -perm -u=s \) 2>/dev/null | gtfocli search

Créditos

Agradecimentos ao GTFOBins e LOLBAS, sem esses projetos o gtfocli jamais teria vindo à luz.

Contribuição

Você quer contribuir com este projeto? Uau, obrigado! Então, por favor, faça um fork e envie um pull request.