osquery - 如何使用 SQL 选择列出一些文件？

Question

osqueryi在运行此命令的 Ubuntu 14.04 LTS 上：

osquery> SELECT * FROM file LIMIT 10;

不返回任何行。其他表格如users已填充。

我是否需要“激活”某些东西来填充file表格？是否有另一个表或类似ls命令的东西？

Answer 1

无需“激活”某些东西来填充file表格，使用

  SELECT * FROM file WHERE path = '/etc/group';

这只是将参数发送到在osquery.io/docs/tablesfile上标记为某些列device_file中的 “WHERE 子句中需要”图标的表的一种丑陋方式。device_partitions

他们将通过错误消息修复信息问题，也许还有更好的文档，请在问题讨论中查看更多详细信息。