Osquery项目实战：创建自定义表格的完整指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00692/article/details/148362249

Osquery项目实战：创建自定义表格的完整指南

osquery osquery/osquery: Osquery 是由Facebook开发的一个跨平台的SQL查询引擎，用于操作系统数据的查询和分析。它将操作系统视为一个数据库，使得安全审计、系统监控以及故障排查等工作可以通过标准SQL查询来进行。项目地址: https://gitcode.com/gh_mirrors/os/osquery

概述

在osquery项目中，表格是表示操作系统抽象概念的核心组件，如运行中的进程、系统服务等。本文将深入讲解如何在osquery中创建自定义表格，从规范定义到实现再到测试的全流程。

表格基础概念

osquery中的表格类似于数据库表，但数据是动态生成的。每个表格都有明确的列定义，可以与其他表格进行关联查询。理解几个关键点：

动态生成：表格数据在查询时实时生成，不是静态存储
跨平台支持：表格可以针对不同操作系统提供不同实现
类型系统：支持INTEGER、BIGINT、TEXT等标准SQL类型

创建新表格的完整流程

第一步：定义表格规范

表格规范使用Python语法定义在.table文件中，主要包含：

table_name("time_example")  # 表格名称
description("返回当前小时、分钟和秒数。")  # 简短描述

# 定义表结构
schema([
    Column("hour", INTEGER, "当前小时"),
    Column("minutes", INTEGER, "当前分钟数"),
    Column("seconds", INTEGER, "当前秒数"),
])

implementation("time@genTimeExample")  # 实现函数名

规范文件需要放置在正确的目录中：

跨平台表格：specs/目录
平台特定表格：对应平台子目录(darwin/linux/windows等)

第二步：实现表格逻辑

实现文件使用C++编写，主要结构如下：

#include <ctime>
#include <osquery/core/tables.h>

namespace osquery {
namespace tables {

QueryData genTimeExample(QueryContext &context) {
  QueryData rows;  // 结果集
  Row r;  // 单行数据

  // 获取当前时间
  time_t _time = time(0);
  struct tm* now = localtime(&_time);

  // 填充行数据
  r["hour"] = now->tm_hour;
  r["minutes"] = now->tm_min;
  r["seconds"] = now->tm_sec;

  rows.push_back(std::move(r));
  return rows;
}

} // namespace tables
} // namespace osquery

关键实现要点：

函数必须返回QueryData(即TableRows)
使用QueryContext处理查询条件
注意内存管理和性能

第三步：添加集成测试

每个表格应有对应的集成测试验证功能：

TEST_F(TimeExample, test_sanity) {
  // 执行查询
  QueryData data = execute_query("select * from time_example");

  // 验证结果
  ASSERT_EQ(data.size(), 1ul);  // 应返回1行
  
  // 定义验证规则
  ValidationMap row_map = {
      {"hour", IntMinMaxCheck(0, 24)},
      {"minutes", IntMinMaxCheck(0, 59)},
      {"seconds", IntMinMaxCheck(0, 59)},
  };
  validate_rows(data, row_map);
}

高级特性

列属性控制

在规范中可以为列定义特殊属性：

Column("path", TEXT, "文件路径", required=True, index=True)

常用属性：

required=True：查询必须包含此列条件
index=True：设为表的主键
hidden=True：不包含在SELECT *结果中
additional=True：影响生成逻辑的特殊列

查询上下文处理

通过QueryContext可以获取查询条件：

// 获取所有等于特定值的path条件
auto paths = context.constraints["path"].getAll(EQUALS);

// 检查pid是否匹配条件
if (!context.constraints["pid"].matches<int>(pid)) {
  continue;
}