Osquery自定义路径安装窗口，有没有办法修改“Pidfile”和“osquery.db”的路径？

Question

我尝试将 osquery 安装在自定义位置，方法是将默认 osquery 安装中的 osqueryd.exe 文件放入

C:\Program Files\Test\foo\testosqueryd.exe.

但是，当我使用标志

--database_path= C:\Program Files\Test\foo\osquery.db

在此位置安装它时，它在尝试时会生成错误启动 osquery:

Windows could not start the osqueryd service on the local computer.
Error 1067: The process terminates unexpectedly.

另一方面，当我不使用

--database_path

标志时，osquery 可以工作，但它会在默认位置

C:\Program Files\osquery\osquery.db

创建 osquery 文件夹。

我的目的是使用

--database_path

标志将数据库置于自定义位置。如何在不遇到错误的情况下实现此目的？

Answer 1

Osquery 确实支持使用备用数据库路径和 pidfile 运行。这些选项是

--database_path

和

--pidfile

。它还支持

--verbose

参数来增加日志输出。

您提供的错误不是来自 osquery。这是来自 Windows 的错误，表示 osquery 未启动。如果你想诊断问题，你需要找到 osquery 日志。 但是，你的例子是

--database_path= C:\Program Files\Test\foo\osquery.db

，我怀疑有两个问题。首先，

=

后面不应该有空格。其次，您需要引用路径，因为

Program Files

中有一个空格。 Windows 上引用路径的语法在 powershell、cmd.exe 和服务管理器配置中是不同的。最后，您似乎将

osqueryd.exe

重命名为

testosqueryd.exe

。 Osquery 可能对其文件命名很敏感，不建议这样做。