Osquery SQL -搜索可执行文件

Question

我需要些帮助。我应该使用什么语法来使用osquery搜索可执行文件？例如，我正在寻找winword.exe，excel.exe。提前谢谢。

Answer 1

一般情况下，不会使用osquery来详尽地搜索磁盘。这类操作往往非常缓慢且容易失败。

更常见的是使用osquery来检查已安装的程序。

这可以使用programs table来完成。虽然这不会直接找到exe，

Answer 2

我不明白你想要实现什么，但是你也可以搜索当前正在运行的进程，过滤掉当前正在运行的所有不同的可执行文件。您不会从中获得所有的pids，但至少列出了当前正在运行的所有EXE

SELECT count(*) count, pid, name, state, root, on_disk, total_size from processes where name like '%exe' group by name;