| 原理 | 内核 /proc 不会被用户态工具过滤 |
|---|---|
| 方法 | ps 列表与 /proc 目录取差集 |
| 增强 | 同时对比 ss 与 /proc/net/tcp |
| 注意 | 线程与短命进程会造成噪声 |
两次采集后取差集
两次采集后取差集
ps -eo pid= | tr -d ' ' | sort -n > /tmp/ps_pids.txt
ls /proc | grep -E '^[0-9]+$' | sort -n > /tmp/proc_pids.txt
comm -13 /tmp/ps_pids.txt /tmp/proc_pids.txt | head -n 30 # 只在 /proc 里出现的 PID差集出现 PID 后立即用 ls -l /proc/<PID>/{exe,cwd,cmdline} 画像，先别 kill。