首页/安全/应急响应速查/定位进程工作目录与根目录
本包目录(168 条)

定位进程工作目录与根目录

/proc/PID/cwd 与 /proc/PID/root 分别指向进程的工作目录与它眼里的根目录:快速找到木马落地目录,也能识别 chroot 类隐藏手法。

应急响应速查安全更新于 2026-10-12
cwd进程当前工作目录
root进程看到的 /(chroot/容器相关)
exe可执行文件路径
cmdline启动命令行

查看进程立足点

查看进程立足点
ls -l /proc/1234/cwd /proc/1234/root /proc/1234/exe
tr '\0' ' ' < /proc/1234/cmdline; echo
sudo ls -la /proc/1234/root/tmp | head   # 该进程眼里的 /tmp
cwd 与 root 不一致通常意味着 chroot、容器或挂载命名空间,值得进一步解释。

易错点

  • 把 root 当真实根目录:命名空间下它指向别的挂载树
  • 进程退出后才读取:/proc/1234 已消失,得先保存现场

数据来源与参考

  • man 5 proc(procfs 文档)

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌