Ruby中的osquery扩展-创建新表

如何解决Ruby中的osquery扩展-创建新表

我正在尝试在Ruby中实现 osquery 的扩展。

我发现一些库和示例在Java，Node和Python中也是如此，但是在Ruby语言中没有任何帮助。

根据此文档，可以使用Thrift生成代码：https://osquery.readthedocs.io/en/stable/development/osquery-sdk/#thrift-api

到目前为止，我所做的步骤：

• 使用thrift -r --gen rb osquery.thrift
生成了代码
• 创建了一个类和一些代码以连接到服务器并注册扩展名

这是该类的代码

# include thrift-generated code
$:.push('./gen-rb')

require 'thrift'
require 'extension_manager'

socket = Thrift::UNIXSocket.new(<path_to_socket>)
transport = Thrift::FramedTransport.new(socket)
protocol = Thrift::BinaryProtocol.new(transport)
client = ExtensionManager::Client.new(protocol)

transport.open()

info = InternalExtensionInfo.new
info.name = "zzz"
info.version = "1.0"

extension = ExtensionManager::RegisterExtension_args.new
extension.info = info

client.registerExtension(extension,{'table' => {'zzz' => [{'name' => 'TEXT'}]}})

要获取<path_to_socket>，请使用：

> osqueryi --nodisable_extensions
osquery> select value from osquery_flags where name = 'extensions_socket';
+-----------------------------------+
| value                             |
+-----------------------------------+
| /Users/USERNAME/.osquery/shell.em |
+-----------------------------------+

当我尝试使用osqueryi获取此表时，运行select * from osquery_registry;时看不到该表。

任何人都已经实现了osquery扩展吗？我被困住了，我不知道如何从这里继续。

解决方法

我认为我没有见过有人进行过红宝石扩展，但是一旦您有了节俭的一面，这应该很简单。

作为工具，osquery支持许多选项。因此，没有单一的方法可以做到这一点。一般来说，扩展是作为自己的进程运行的，并通过该节俭套接字进行通信。

通常，它们非常简单，并且osquery使用适当的命令行参数直接调用扩展。在您与接受--interval，--socket和--timeout的示例链接的doc中，提到了这一点。如果这样做，您将需要查看osquery的--extensions_autoload和--extensions_require选项。 （我会推荐这条路线）

很少见的是使用--extensions_socket使用指定的套接字路径启动osquery。然后您的扩展程序可以使用它。这种方式更为常见，因为扩展名不能是简单的二进制文件，而是大型的复杂系统。

,

我发现自己在通过 ruby​​ 玩弄节俭。如果我使用 BufferedTransport，它似乎可以工作：

socket = Thrift::UNIXSocket.new('/tmp/osq.sock')
transport = Thrift::BufferedTransport.new(socket)
protocol = Thrift::BinaryProtocol.new(transport)
client = ExtensionManager::Client.new(protocol)

transport.open()
client.ping()
client.query("select 1")