| 路径 | /proc/<pid>/fd/* |
|---|---|
| 特征 | 链接目标带 (deleted) 字样 |
定位与导出
定位与导出
ls -l /proc/1234/fd | grep deleted
cat /proc/1234/fd/3 > /mnt/evidence/deleted_fd3.bin导出后立即计算哈希，避免后续被进程继续写入影响结果。
文件描述符与已删除文件恢复
被删除但仍被进程占用的文件可以通过 /proc/<pid>/fd 取回内容，这是排查“删了但还在跑”的样本与日志的常用手段。
易错点
- 导出时刻之前的内容已不可得，越早操作越好
- 对大文件用 cat 可能阻塞，改用 dd 指定大小并记录
数据来源与参考
- man 5 proc（/proc/pid/fd）
- lsof 官方文档（+L1 选项）