时间戳

首页 > 解决方案 > osquery - 如何使用 osquery 检索文件来源？

sql - osquery - 如何使用 osquery 检索文件来源？

问题描述

我在 Windows 上使用 osquery，我需要帮助：我想检索特定文件的文件来源。例如，我从http://example.com下载了一个文件，并且正在寻找关于 osquery 的查询，该查询显示了我从http://example.com（或类似的东西）下载该特定文件的信息。我认为要获取此信息，我可以比较表文件和表路由之间的时间戳，但路由中没有列时间戳。我怎样才能做到这一点？

标签： sqlwindowsosquery

解决方案

尽管可以通过 ADS 在系统上获得该信息（请参阅此答案），但我在 Windows 上没有看到此表。我会在osquery repo上为此打开一个问题，这将是一个有价值的表。

您可以使用该extended_attributes表。例如：

osquery> select path, key, value, base64 from extended_attributes where path ='/Users/victor/Downloads/osqueryi.zip';
  path = /Users/victor/Downloads/osqueryi.zip
   key = com.apple.lastuseddate#PS
 value = eynzWgAAAAAbZEQgAAAAAA==
base64 = 1

  path = /Users/victor/Downloads/osqueryi.zip
   key = where_from
 value = https://files.slack.com/files-pri/T04QVKUQG-FALAL3WP2/download/osqueryi.zip
base64 = 0
osquery>

推荐阅读