| 用途 | 进程与父子链快照 |
|---|---|
| 建议 | 先固定输出字段再落盘，便于对比两次快照 |
快照
快照
ps -eo pid,ppid,user,lstart,etime,cmd --sort=start_time | tail -30
ps -ef --forest | head -40可疑进程在处置前先记 PID、命令行与哈希，杀进程会丢失内存中的证据。
ps 进程快照与父子关系
ps 是进程侧的抓拍手段：按启动时间排序可确认最近拉起的进程，--forest 还原父子链，是判断“谁起了谁”的起点。
易错点
- 两次快照间隔太远会漏掉短生命周期进程
- ps 显示的是 /proc 的视图，被 rootkit 隐藏的进程可能不出现
数据来源与参考
- man 1 ps（procps-ng）