| 路径 | /proc/<pid>/maps |
|---|---|
| 可疑特征 | rwx 段、非标准路径的 .so、匿名大段 |
筛查
筛查
grep -E 'rwx|/tmp/|/dev/shm/' /proc/1234/maps
awk '{print $6}' /proc/1234/maps | sort | uniq -c | sort -rn | head与 /proc/<pid>/smaps 结合可看映射大小与驻留页，判断是否为真实载荷。
maps 内存映射异常检查
/proc/<pid>/maps 展示进程的地址空间映射：从 /tmp、/dev/shm 加载的共享库或成片的匿名可执行段，都是注入与无文件载荷的可疑信号。
易错点
- 无文件映射常见于合法解释器（如 JIT），需结合实际业务判断
- 采集时机不同映射会变化，需要多时点快照对比
数据来源与参考
- man 5 proc（/proc/pid/maps）