LOLBin / LOLBAS.

被攻击者滥用、外表仍是合法管理工具的已签名原生二进制或脚本(LOLBin/LOLBAS),可用于执行、下载、持久化或绕过防护。 它属于网络安全的 攻击与威胁 分类。

被攻击者滥用、外表仍是合法管理工具的已签名原生二进制或脚本(LOLBin/LOLBAS),可用于执行、下载、持久化或绕过防护。

LOLBin(Living-Off-the-Land Binary)及其更广义的项目 LOLBAS(Living-Off-the-Land Binaries And Scripts)收录了具备攻击者可利用副作用的微软签名二进制、脚本和库,例如执行任意代码、下载远程载荷或绕过应用程序控制。常见示例包括 rundll32.exe、regsvr32.exe、mshta.exe、msbuild.exe、installutil.exe 和 certutil.exe。由于这些工具均已签名并被默认信任,防御者无法简单按哈希封禁,必须区分正常和异常的命令行。LOLBAS 支撑了 MITRE ATT&CK 中大量执行与防御绕过技术。缓解措施依赖应用程序白名单、ScriptBlock 与进程创建日志、ASR 规则以及 EDR 行为分析。

针对 LOLBin / LOLBAS 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: LOLBAS, Living-off-the-Land 二进制。