| 现象 | PPID=1，被 init/systemd 收养 |
|---|---|
| 正常 | nohup、daemon 化服务、容器 1 号进程 |
| 可疑 | www 用户的常驻进程、带交互参数的命令 |
| 动作 | 记录 lstart、exe、网络后处理 |
列出并筛可疑者
列出并筛可疑者
ps -eo pid,ppid,user,lstart,cmd | awk '$2==1' | head -n 40
ps -eo pid,ppid,user,cmd | awk '$2==1 && $3=="www"' | head判断标准是"这个用户该不该有常驻进程"，而不是 PPID=1 本身。