欢迎来到 LOLDrivers（Living Off The Land Drivers），这是一个令人兴奋的开源项目，将易受攻击的、恶意的以及已知恶意的 Windows 驱动程序汇集到一个全面的代码库中。我们的使命是让各种规模的组织都能掌握相关知识和工具，以理解和应对与驱动程序相关的安全风险，使其系统更加安全可靠。
LOLDrivers 目录目前追踪 702 个驱动程序条目（578 个易受攻击，124 个恶意），并附有来自 2,407 个已知样本的证据。每个驱动程序条目可以包含多个已知样本，具有不同的哈希值、签名和 HVCI 结果。在线站点 展示实时指标、随时间累积的增长情况以及可搜索的驱动程序浏览器。
/api/drivers.json 和 /api/drivers.csv 端点进行程序化访问——参见 API 文档/llms.txt 发现，提供研究、样本验证和防御集成的指导要开始您的 LOLDrivers 之旅，只需访问 LOLDrivers.io 站点，或克隆代码库并探索分类目录中丰富的可用信息。我们设计该站点是为了帮助您轻松找到保护系统免受易受攻击驱动程序影响所需的洞察。
为了帮助加快 YAML 文件的创建，请查看 loldrivers.streamlit.app
请使用 GitHub issue tracker 提交错误或请求功能。
通过定期查看更新并为项目做出贡献，与 LOLDrivers 社区保持互动。您的参与将有助于确保项目保持最新，并对他人更有价值。
加入我们，为各地的组织创造一个更安全、更有保障的数字环境。有了 LOLDrivers 的支持，您将能够充分应对与驱动程序相关的安全风险，并自信地驾驭不断演变的网络环境。
如果您想贡献，请按照以下步骤操作：
有关更详细的说明，请参阅 CONTRIBUTING.md 文件。要为驱动程序创建新的 YAML 文件，请使用提供的 YML-Template。
LOLDrivers 提供全面的 Sigma、Yara、ClamAV 和 Sysmon 检测规则，帮助您有效检测潜在威胁。要详细查看这些规则，请导航至 detection 文件夹下的 sigma、yara、av 和 sysmon 目录。此外，还有 WDAC 策略，感谢 Florian Stosse 和 HotCakeX。
祝狩猎愉快！🕵️♂️
社区还创建了一个 PowerShell LOLDriver 扫描器，由 @Oddvarmoe、@M_haggis 和 IISResetMe 提供，可帮助您识别潜在的恶意驱动程序。该脚本可在此处获取，允许您扫描指定的 Windows 文件夹以查找任何可疑文件。我们建议在以下目录上运行该脚本：
C:\WINDOWS\inf
C:\WINDOWS\System32\drivers
C:\WINDOWS\System32\DriverStore\FileRepository
主网站使用 Astro，位于 website/。有关 Node 24 / Python 3.11 环境配置、公共 API 生成、本地预览和浏览器检查，请参阅该指南。构建或部署网站不再需要 Hugo 和 Go。
Deploy Site 工作流会在拉取请求中验证生产构建产物，并在推送到 main 后将经过测试的 Astro 构建产物发布到 GitHub Pages。独立的预览工作流保持分析功能处于禁用状态。带标签的发布版本会打包驱动程序下载内容，但不会部署网站。
有关 URL 约定和剩余维护工作，请参阅生产迁移与回滚指南。