| 路径 | /proc/<pid>/cmdline |
|---|---|
| 对照 | ps -o args 输出 |
读取
读取
tr '\0' ' ' < /proc/1234/cmdline; echo
ps -p 1234 -o args=命令行整体为空但进程仍在运行的，多为内核线程或伪装进程，需要结合 exe 链接判断。
完整命令行与参数伪装识别
/proc/<pid>/cmdline 保存启动参数原始字节，与 ps 显示对照可发现 argv 伪装、超长参数或命令行清空等规避手法。
易错点
- 参数在内存中可被进程改写，cmdline 与 ps 不一致本身就是线索
- 空命令行不能直接判定为恶意，先排除内核线程
数据来源与参考
- man 5 proc（/proc/pid/cmdline）