进程与连接排查25 条

ps 查看进程快照

最基础的进程排查命令：查看全量进程、启动时间与完整命令行，按启动时间或资源排序快速锁定可疑进程。

常用示例

ps auxww | head -n 20
ps -eo pid,ppid,user,lstart,cmd --sort=start_time | tail -n 30
ps -eo pid,pcpu,pmem,etime,cmd --sort=-pcpu | head -n 15

ps 输出可能被 rootkit 过滤：与 ls /proc 的进程目录数量对比，可发现隐藏进程。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌