| 内核线程特征 | PPID=2（kthreadd），cmd 带方括号 |
|---|---|
| kthreadd | PID 2，所有内核线程之父 |
| 可疑特征 | 名字像内核线程但 PPID 正常 |
| 复核 | /proc/<PID>/cmdline 为空才是真内核线程 |
对比核查
对比核查
ps -eo pid,ppid,cmd | awk '$2==2' | head -n 20
for P in 1234 5678; do echo "== $P"; tr '\0' ' ' < /proc/$P/cmdline; echo; done真内核线程 /proc/PID/cmdline 为空、/proc/PID/exe 不可读，这两点能戳穿大部分伪装。