用途：检测 Windows 环境中 Living Off The Land Binaries（LOLBAS）滥用。通过分析进程创建事件（Event ID 4688 / Sysmon Event ID 1），将命令行与 LOLBAS 项目中的已知恶意模式进行匹配。
主要能力：可拉取 LOLBAS 数据库（https://lolbas-project.github.io/api/lolbas.json），提取二进制名称与可疑命令；并给出关键检测模式，包括 certutil -urlcache -split -f（下载）、mshta vbscript:Execute（脚本执行）、regsvr32 /s /n /u /i:http（squiblydoo）、rundll32 javascript:（脚本执行）、wmic process call create（进程创建）、bitsadmin /transfer（下载）。
使用方式：用 Python 获取并解析 LOLBAS 数据库；或借助 Evtx 库读取 Sysmon 事件日志（Microsoft-Windows-Sysmon.evtx），遍历记录并将 XML 内容与上述模式比对，命中时输出检测告警。示例中包含 import json、requests、Evtx.Evtx 等必要引用。
适用场景：Windows 主机日志分析与威胁狩猎、安全运营中心（SOC）检测规则构建、事件响应中的可疑命令行排查。
限制：仅依据资料所述的事件日志与命令行模式匹配，不包含完整检测规则或部署步骤；其他收费、价格、平台支持与效果信息暂未提供。