LOLBAS
Le catalogue des programmes Windows signés que l'on peut détourner pour leur faire faire tout autre chose que ce à quoi ils sont destinés — télécharger des fichiers, exécuter du code, contourner des listes blanches.
L'acronyme signifie Living Off The Land Binaries, Scripts and Libraries, et le projet recense systématiquement les outils intégrés dotés de capacités inattendues. certutil.exe sert à la gestion des certificats, mais accepte volontiers de récupérer un fichier sur internet et de décoder du base64. mshta.exe exécute des applications HTML, autrement dit des scripts. regsvr32.exe peut récupérer et exécuter du code depuis une URL, ce qui fut pendant des années le moyen le plus simple de contourner AppLocker. L'intérêt de ces binaires est d'être signés par Microsoft, présents sur chaque machine et souvent déjà autorisés. La défense ne peut donc pas reposer sur les signatures de fichiers, mais doit s'appuyer sur le comportement — quel programme en a lancé quel autre, et avec quels arguments. L'équivalent Unix s'appelle GTFOBins.