| 顺序 | 画像 → 挂起 → 确认 → 终止 |
|---|---|
| 挂起 | kill -STOP 冻结进程抢时间 |
| 记录 | exe/cwd/md5/网络/环境/启动时间 |
| 样本 | 从 /proc 复制可执行文件 |
画像到终止的完整序列
画像到终止的完整序列
PID=1234
ls -l /proc/$PID/exe /proc/$PID/cwd
md5sum /proc/$PID/exe 2>/dev/null
ss -antp | grep "pid=$PID"
tr '\0' '\n' < /proc/$PID/environ | head
cp /proc/$PID/exe /evidence/sample_$PID.bin 2>/dev/null
kill -STOP $PID # 先冻结
# ……确认无业务依赖后……
kill -9 $PID不要跳过 kill -STOP：直杀可能触发对手脚本的超时清理逻辑，顺手删证据。