首页/安全/应急响应速查/通过 inode 反查占用端口的进程
本包目录(168 条)

通过 inode 反查占用端口的进程

连接缺少进程归属时(老内核、无权限、容器命名空间),用 socket inode 从 /proc 里反查是哪个进程持有的。

应急响应速查安全更新于 2026-10-12
入口/proc/net/tcp 的 inode 列
反查遍历 /proc/*/fd 找 socket:[inode]
场景ss -p 显示不了 PID 时
替代lsof -i 直接给 PID

按 inode 反查进程

按 inode 反查进程
ss -anp 'sport = :8080' | awk 'NR>1{print $NF; exit}'
ls -l /proc/*/fd 2>/dev/null | grep -F 'socket:[' | grep 12345678 | head
容器场景中 ss 显示的是宿主侧 PID,进入容器 netns 再查才能对上容器内进程。

易错点

  • awk 取错列:ss 输出 inode 在最后一列,加选项后列数会变
  • 忘记容器 netns:宿主机 PID 与容器内进程对不上

数据来源与参考

  • man 8 ss(iproute2)
  • Linux 内核 procfs 文档:/proc/net/tcp 字段

相关工具

​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌