使用OSquery修改或终止进程等

Question

从我所读到的内容来看，osquery用于查询/读取系统信息。

它可以随时修改系统状态，比如终止进程或删除注册表项?？

在进行编程之前，我使用osqueryi命令(如select * form users )。

Answer 1

一般不会。

osquery本身的目标是而不是，以更改文件系统中的任何内容。主要发行版没有这样做的机制。(当然，这是本地州文件除外)

然而，osquery扩展可以编写来执行扩展作者想做的任何事情。此外，osquery支持“可写表”的概念，扩展可以用来表示一个更简单的接口。

查看https://blog.trailofbits.com/2018/05/30/manage-your-fleets-firewalls-with-osquery/中的可写表示例。