sql - Osquery SQL - 搜索可执行文件

Question

我需要一些帮助。我使用什么语法来搜索使用 osquery 的可执行文件？比如我要找winword.exe、excel.exe。提前致谢。

Answer 1

一般osquery不用于穷举搜索磁盘。这种动作往往非常缓慢且容易失败。

更常见的是使用 osquery 来检查已安装的程序。

这可以通过programs表来完成。虽然这不会直接找到exe，

Answer 2

我不明白您要在此实现什么，但您也可以搜索当前正在运行的进程并过滤掉当前正在运行的所有不同的可执行文件。您不会从中获得所有的 pid，但至少是现在正在运行的所有 EXE 的列表

SELECT count(*) count, pid, name, state, root, on_disk, total_size from processes where name like '%exe' group by name;