1

我有一个关于使用 osquery-python 创建 osquery 扩展的新手问题。我创建了一个小扩展，可以从我的 linux 系统中获取一些额外的 RPM 信息。按照文档中的说明，我在 /etc/osquery/extensions.load 中添加了扩展的路径以使其自动加载。我重新启动了 osqueryd，我看到扩展使用 ps ax 运行。

如果我以交互方式运行 osqueryi，我可以看到表格并获取数据。这一切都完美无缺。

但是，当我运行 osqueryi 命令“单线”时，例如： 

osqueryi .tables
我的输出出现以下错误：

#INFO:thrift.transport.TSocket:Could not connect to /root/.osquery/shell.em
Traceback (most recent call last):
  File "build/bdist.linux-x86_64/egg/thrift/transport/TSocket.py", line 104, in open
    handle.connect(sockaddr)
  File "/usr/lib64/python2.7/socket.py", line 224, in meth
    return getattr(self._sock,name)(*args)
error: [Errno 2] No such file or directory
ERROR:thrift.transport.TSocket:Could not connect to any of ['/root/.osquery/shell.em']

我做错了什么？

4

1 回答 1

0

扩展在单独的进程中运行。您可以看到套接字错误，这表明扩展进程无法与 osquery 进程通信。确保 osqueryd 或 osqueryi 正在运行。链接：osquery doc page for extensions。

于 2018-02-02T05:21:21.920 回答