安全运营 -- splunk api接口调用返回值突破100条限制

0x00 背景 

为了方便做一些自动化的项目，解放双手。需要通过API来访问splunk。

在前面的文章 安全运营 -- splunk api接口调用_leeezp的博客-CSDN博客 中做的项目返回的数据量不大，没有超过100条，笔者没注意到这个限制。

0x01 原理

" 默认情况下，即使搜索结果中有100个以上的事件，一次搜索也最多返回100个事件。要返回100个以上的事件，请在单次搜索的参数中添加以下参数： count=0 " 。当count参数设置为零时，表示对要返回的事件数没有限制。

0x02 实践

以前面文章 安全运营 -- splunk api接口调用_leeezp的博客-CSDN博客 中的代码为例：

原代码修改为：

url2 = url + '/' + sid + '/results?output_mode=json&count=0'