| 方法 | /proc 数字目录 vs ps 列表 |
|---|---|
| 工具 | unhide（部分发行版仓库提供） |
集合对比
集合对比
ls -d /proc/[0-9]* | sed 's#/proc/##' | sort -n > /tmp/proc_ids.txt
ps -eo pid --no-headers | sort -n > /tmp/ps_ids.txt
comm -23 /tmp/proc_ids.txt /tmp/ps_ids.txt差异项要逐个核对：内核线程、容器进程与命名空间差异都会造成误报。
隐藏进程识别（/proc 对比）
进程目录数与 ps 输出条数的差异是常规排查手段：遍历 /proc 数字目录再与 ps 列表做集合差，可发现被工具规避的进程。
易错点
- 在容器或 PID 命名空间隔离下对比结果会失真
- 采集命令本身可能被规避，换用静态编译工具交叉验证更稳妥
数据来源与参考
- unhide 官方文档
- man 5 proc（proc(5)）