无法用Python连接osquery守护进程，使用事件表报错求助

错误原因分析 #

你遇到的Called read on non-open pipe错误核心来自两个问题：

1. 循环内重复创建extension_client，导致连接资源被重复操作、异常关闭
2. 未正确配置启动osqueryd服务，且事件表的查询方式不符合osquery的事件监听机制

修复步骤及解决方案 #

1. 正确启动并配置osqueryd #

事件表依赖osqueryd的事件系统，必须先启动服务并启用对应配置：

• 以管理员身份打开命令提示符，运行osqueryd（确保osquery已加入系统PATH）：

osqueryd --extensions_socket \\.\pipe\osquery.em --config_path .\osquery.conf

• 编写osquery.conf配置文件，启用目标事件表：

{
  "options": {
    "enable_events": true,
    "events_expiry": 86400
  },
  "tables": {
    "ntfs_journal_events": {
      "enable": true
    }
  }
}

2. 修正Python代码逻辑 #

避免重复创建客户端，复用已建立的连接，同时持续监听事件而非单次查询后终止：

import osquery
from thrift.transport.TTransport import TTransportException

if __name__ == "__main__":
    instance = osquery.ExtensionClient('\\\\.\\pipe\\osquery.em')
    try:
        instance.open()
        # 仅初始化一次客户端实例
        client = instance.extension_client()
        
        print("开始监听NTFS日志事件...")
        while True:
            try:
                results = client.query("SELECT * FROM ntfs_journal_events;")
                if results.response:
                    for event in results.response:
                        print(event)
            except TTransportException as e:
                print(f"连接异常: {e}")
                break
    except Exception as e:
        print(f"初始化失败: {e}")
    finally:
        if instance.connection:
            instance.close()

3. 关键注意事项 #

• 事件表必须在osqueryd后台运行时才能工作，不能用osqueryi替代
• 部分事件表（如ntfs_journal_events）需要管理员权限启动osqueryd
• 确保管道路径与osqueryd启动时指定的--extensions_socket参数完全一致
• 不要频繁创建/销毁客户端连接，复用连接可避免管道资源异常

内容的提问来源于stack exchange，提问作者Vishal