Living Off The Land Binaries and Scripts (а теперь также Libraries)

Все файлы можно найти за красивым интерфейсом здесь: https://lolbas-project.github.io (спасибо @ConsciousHacker за эту визуальную радость и команде https://gtfobins.github.io/). Этот репозиторий служит местом, где мы поддерживаем YML-файлы, используемые этим интерфейсом.

Цель

Цель проекта LOLBAS — задокументировать каждый бинарный файл, скрипт и библиотеку, которые могут быть использованы для техник «Living Off The Land».

Критерии

LOLBin/Lib/Script должен:

• Быть файлом, подписанным Microsoft, либо входящим в состав ОС, либо загруженным от Microsoft.
• Иметь дополнительную «неожиданную» функциональность. Неинтересно документировать предполагаемые варианты использования.
  • Исключения — обходы белых списков приложений.
• Иметь функциональность, которая была бы полезна APT-группе или red team.

Интересная функциональность может включать:

• Выполнение кода
  • Произвольное выполнение кода
  • Сквозное выполнение других (неподписанных) программ или скриптов (через LOLBin)
• Компиляция кода
• Операции с файлами
  • Загрузка
  • Выгрузка
  • Копирование
• Персистентность
  • Сквозная персистентность с использованием существующего LOLBin
  • Персистентность (например, скрытие данных в ADS, выполнение при входе)
• Обход UAC
• Кража учётных данных
• Дамп памяти процесса
• Наблюдение (например, кейлоггер, сетевой трассировка)
• Обход/изменение логов
• Side-loading/hijacking DLL без перемещения в другую часть файловой системы.

Мы не одобряем бинарные файлы, которые позволяют выполнять netntlm-коэрсинг, так как большинство бинарных файлов Windows это позволяют. Исключение — бинарные файлы, которые делают это не на стандартных портах (например, rpcping) или могут позволить прямую кражу учётных данных.

Участие

Если вы нашли новый LOLBin или LOLScript и хотите внести свой вклад, пожалуйста, ознакомьтесь с руководством по участию, расположенным здесь: https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Шаблон требуемого формата предоставлен здесь: https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

История LOLBin

Фраза «Living off the land» была придумана Кристофером Кэмпбеллом (@obscuresec) и Мэттом Гребером (@mattifestation) на DerbyCon 3.

Термин LOLBins возник из обсуждения в Twitter о том, как называть бинарные файлы, которые могут быть использованы злоумышленником для выполнения действий, выходящих за рамки их первоначального назначения. Филип Гор (@MathCasualty) предложил LOLBins. Затем последовал высоконаучный интернет-опрос, и после достижения общего консенсуса (69%) название было официально утверждено. Джимми (@bohops) добавил LOLScripts. Опрос не проводился.

Распространённые хештеги для этих файлов:

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Наш основной мейнтейнер (@oddvarmoe) этого проекта выступил на DerbyCon 2018 с докладом: #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 В этом докладе рассказывается история проекта.

Мейнтейнеры

Следующие люди помогают поддерживать проект LOLBAS в свободное время:

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Благодарности

Как и многие проекты с открытым исходным кодом, этот является продуктом сообщества, и мы хотели бы поблагодарить наше:

• Домен http://lolbins.com был зарегистрирован неизвестным лицом и перенаправлен на старую версию этого проекта.
• Домен http://lolbas-project.com был зарегистрирован Джимми (@bohops).
• Логотипы для проекта созданы Адамом Надровским (@_sup_mane). Мы их #@&!!@#! обожаем.

Уведомление

• Пожалуйста, обратитесь к NOTICE.md для получения информации о лицензии.