如何查看osquery模式描述？

Question

我对运行osqueryi.exe时可以看到的一些可用表感到好奇。

我有这些桌子。

osquery> .tables
  => appcompat_shims
  => arp_cache
  => authenticode
  => autoexec
  => bitlocker_info
  => carbon_black_info
  => carves
  => certificates
  => chocolatey_packages

..。

然后我想知道其中的一些，例如，我查找了processes表here的源代码。

​

​

有一堆schema命令没有显示的描述...问题是。有没有办法检查源代码中似乎存在的元数据？

osquery> .schema processes
CREATE TABLE processes(`pid` BIGINT,
 `name` TEXT,
 `path` TEXT,
 `cmdline` TEXT,
 `state` TEXT,
 `cwd` TEXT,
 `root` TEXT,
 `uid` BIGINT,
 `gid` BIGINT,
 `euid` BIGINT,
 `egid` BIGINT,
 `suid` BIGINT,
 `sgid` BIGINT,
 `on_disk` INTEGER,
 `wired_size` BIGINT,
 `resident_size` BIGINT,
 `total_size` BIGINT,
 `user_time` BIGINT,
 `system_time` BIGINT,
 `disk_bytes_read` BIGINT,
 `disk_bytes_written` BIGINT,
 `start_time` BIGINT,
 `parent` BIGINT,
 `pgroup` BIGINT,
 `threads` INTEGER,
 `nice` INTEGER,
 `is_elevated_token` INTEGER,
 `elapsed_time` BIGINT,
 `handle_count` BIGINT,
 `percent_processor_time` BIGINT,
 `upid` BIGINT HIDDEN,
 `uppid` BIGINT HIDDEN,
 `cpu_type` INTEGER HIDDEN,
 `cpu_subtype` INTEGER HIDDEN,
 `phys_footprint` BIGINT HIDDEN,
 PRIMARY KEY (`pid`)) WITHOUT ROWID;

Answer 1

我不太清楚你在问什么。我相信sqlite应该会显示规范文件中的内容。(虽然隐藏的列是隐藏的)

您还可以在线查看表文档-- https://osquery.io/schema