Linux 取证135 条

exe 与 cwd 定位运行程序

每个进程的 /proc/<pid>/exe 指向可执行文件、cwd 指向工作目录；即使进程已删除本体，链接也会带 (deleted) 标记，可直接定位可执行内容。

路径	/proc/<pid>/exe、/proc/<pid>/cwd、/proc/<pid>/root
用法	ls -l 查看链接目标

查看

ls -l /proc/$(pgrep -n nginx)/exe /proc/$(pgrep -n nginx)/cwd
readlink -f /proc/1234/exe

从 /proc/<pid>/exe 复制文件时先确认权限与稳定性，必要时先采集内存。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌