octoberfest7/enumhandles_bofCobalt Strike BOF для перечисления открытых файловых дескрипторов в живой системе Windows, позволяющий выяснить, какой процесс заблокировал целевой файл на диске во время пост-эксплуатации.
Этот BOF можно использовать для выявления процессов, которые удерживают дескрипторы (handles) указанного файла. Это может быть полезно для определения того, какой процесс блокирует файл на диске.
Я обнаружил, что x86-бины иногда падают при попытке перечислить дескрипторы, связанные с x64-образом. Например, выполнение enumhandles c:\windows\sysnative\svchost.exe может вызвать сбой.
Вся заслуга за эту технику принадлежит Grzegorz Tworek:
Конкретный твит об этой технике можно найти здесь.
