octoberfest7/enumhandles_bofCobalt Strike BOF per l'enumerazione live di Windows degli handle di file aperti, rivelando quale processo ha bloccato un file di destinazione su disco durante la post-exploitation.
Questo BOF può essere usato per identificare i processi che detengono handle a un determinato file. Questo può essere utile per identificare quale processo sta bloccando un file su disco.
Ho riscontrato che i beacon x86 a volte vanno in crash quando si tenta di enumerare gli handle associati a un'immagine x64. Ad esempio, eseguire enumhandles c:\windows\sysnative\svchost.exe può causare un crash.
Tutto il merito di questa tecnica va a Grzegorz Tworek:
Il tweet specifico riguardante questa tecnica può essere trovato qui.
