goLoL

goLoL — это сканер узлов Windows с двойной поддержкой двоичных файлов LOLBAS и LOLDrivers. Он выводит список техник LOLBAS, которые можно выполнить с вашим текущим уровнем привилегий (с отображением MITRE ATT&CK), и может сканировать локальные файлы .sys на соответствие хешам уязвимых/вредоносных драйверов из LOLDrivers. Примечание: Этот инструмент не является OPSEC-безопасным. Автор: Aaron Kidwell

                   █████                █████      
                  ░░███                ░░███       
  ███████  ██████  ░███         ██████  ░███       
 ███░░███ ███░░███ ░███        ███░░███ ░███       
░███ ░███░███ ░███ ░███       ░███ ░███ ░███       
░███ ░███░███ ░███ ░███      █░███ ░███ ░███      █
░░███████░░██████  ███████████░░██████  ███████████
 ░░░░░███ ░░░░░░  ░░░░░░░░░░░  ░░░░░░  ░░░░░░░░░░░ 
 ███ ░███                                          
░░██████                                           
 ░░░░░░                                            

Возможности

• Живой каталог LOLBAS: загружает последние записи с lolbas-project.github.io
• Обнаружение на диске: разрешает задокументированные пути к локальным расположениям %WINDIR%, %ProgramFiles%, %USERPROFILE% и WindowsApps
• Фильтрация по привилегиям: показывает только техники, доступные на вашем текущем уровне
• Метки MITRE ATT&CK: идентификаторы техник, привязанные к читаемым названиям (например, T1003.003: NTDS)
• Гибкая сортировка: группировка по двоичному файлу, уровню привилегий или технике ATT&CK
• Режим драйверов: хеширует локальные файлы .sys и сравнивает с живым каталогом JSON LOLDrivers
• Режим обычного вывода: только ASCII-вывод для telnet, обратных оболочек и других нестабильных терминалов
• Легковесное сканирование: проверка файловой системы через Go API; обнаружение группы администраторов с помощью net localgroup (один дочерний процесс в Windows)

Уровни привилегий

Команды уровня администратора могут требовать повышенную оболочку, даже если ваша учетная запись входит в группу Администраторы. Записи уровня SYSTEM скрыты, если токен процесса не является SYSTEM (S-1-5-18).

Требования

• Windows (основная цель; сборки не для Windows заглушают проверки привилегий)
• Go 1.21+ (проект использует Go 1.26.2)
• Доступ к сети для загрузки каталогов LOLBAS/LOLDrivers при каждом запуске (не кэшируются офлайн)

Установка

Удаленная установка (требуется тегированный релиз на GitHub, например v0.1.0):

go install github.com/aaron-kidwell/goLoL@latest

Двоичный файл помещается в ваш GOPATH/bin (или ~/go/bin). В Windows убедитесь, что этот каталог находится в вашем PATH.

Клонирование и сборка:

git clone https://github.com/aaron-kidwell/goLoL.git
cd goLoL
go build -ldflags="-s -w" -trimpath -o golol.exe .

Использование

goLoL поддерживает два режима сканирования:

• Режим LOLBAS (по умолчанию) для двоичных файлов «живущих за счёт земли» и техник, отфильтрованных по привилегиям
• Режим LOLDrivers через -driver для поиска хешей уязвимых/вредоносных драйверов

Запуск из корня модуля (требуется для пакетов internal/):

go run .

Сборка двоичного файла (рекомендуется.. удаляет отладочную информацию, примерно на 30% меньше):

go build -ldflags="-s -w" -trimpath -o golol.exe .
.\golol.exe

-s -w удаляет таблицу символов и отладочные данные DWARF. Обычная сборка go build этого проекта весит примерно 9,5 МБ; с этими флагами размер уменьшается до примерно 6,4 МБ.

Флаги

Псевдонимы сортировки: b, priv/p, mitre/a. Недопустимые значения выводят ошибку и показывают справку.

Примеры

# Default: grouped by binary name (A-Z)
go run .

# Driver mode (scan local .sys files against LOLDrivers hashes)
go run . -driver

# Look up a single binary
go run . -s certutil
.\golol.exe -s certutil.exe

# Admin tier first, then user tier (SYSTEM tier first when running as SYSTEM)
go run . -sort privilege

# Sorted by MITRE ATT&CK ID
go run . -sort attack

# Reverse shell / telnet friendly output
go run . -plain

# Combine flags
go run . -plain -sort attack

Пример вывода

Количество и двоичные файлы различаются в зависимости от хоста. Скриншот в начале этого README показывает интерактивный режим (цветной терминал, группировка по двоичному файлу).

Обычный режим (-plain):

[*] Checking process token...
[*] Fetching LOLBAS catalog...
[+] Found 147 binaries, 299 techniques

==============================================================
Role:        administrator
Sort:        binary
Binaries:    147
Techniques:  299
==============================================================

  [1] Esentutl.exe
  Path:          C:\Windows\System32\esentutl.exe
  ...

Как это работает

1. Определяет контекст привилегий текущего процесса (обычный пользователь, член локальной группы администраторов или SYSTEM).
2. В режиме по умолчанию загружает и разбирает каталог JSON LOLBAS.
3. Для каждой записи LOLBAS пересопоставляет задокументированные пути с локальной файловой системой и проверяет существование двоичного файла.
4. Фильтрует команды по уровню привилегий и удаляет дубликаты по разрешённому пути на диске.
5. В режиме -driver загружает каталог JSON LOLDrivers, хеширует локальные файлы .sys и сообщает о совпадениях хешей.
6. Выводит результаты с путями, техникой ATT&CK, вариантом использования и примером команды (или метаданными совпадения драйвера в режиме -driver).

Структура проекта

.
├── docs/
│   └── screenshot.png            # README screenshot
├── main.go
├── internal/
│   ├── mitre/
│   │   └── names.go              # MITRE ATT&CK ID to label map
│   └── privileges/
│       ├── privileges_windows.go # Token / Administrators group checks
│       └── privileges_stub.go    # Non-Windows stub
├── go.mod
└── go.sum

Отказ от ответственности

Только для авторизованного тестирования безопасности, лабораторного использования и обучения. Запускайте только на системах, которые вам принадлежат или на которые у вас есть явное разрешение. Записи LOLBAS описывают техники, которые могут быть использованы злоумышленниками, поэтому используйте ответственно. Автор не несет ответственности за неправомерное использование.

Техники и метаданные взяты из проектов LOLBAS Project и LOLDrivers. goLoL не связан и не поддерживается ни одним из этих проектов.

Лицензия

MIT