使用 OSquery 修改或终止进程等

问题描述

据我所知，osquery 用于查询/读取系统信息。

它有可能修改系统状态，例如终止进程或删除注册表项??

在以编程方式深入之前，我正在使用像 select * form users 这样的 osqueryi 命令。

解决方法

一般不会。

osquery 本身旨在不更改文件系统中的任何内容。主要发行版没有可以做到这一点的机制。 （当然，本地状态文件除外）

osquery 扩展，然而，可以编写为扩展作者想要的任何东西。此外，osquery 支持“可写表”的想法，扩展可以使用它来呈现更简单的界面。

查看 https://blog.trailofbits.com/2018/05/30/manage-your-fleets-firewalls-with-osquery/ 以获取可写表示例。