Linux应急响应之进程排查篇

文章来源：dearcloud

版权声明：本文为CSDN博主「dearcloud」的原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接及本声明。https://blog.csdn.net/qq_42671480/java/article/details/90372384

Linux应急响应之进程排查篇

木马执行后，必然出现一个恶意进程。那么，该如何寻找这个进程呢？

我是通过这四个特征判断

（1）进程占用cpu，内存耗能高。

（2）进程运行时间，开始时间，差异化明显

（3）进程路径，使用命令参数异常

（4）多数病毒会替换系统命令

1.ps -aux

USER 哪个用户启动了这个命令

PID 进程ID

CPU CPU占用率

MEM 内存使用量

VSZ 如果一个程序完全驻留在内存的话需要占用多少内存空间

RSS 当前实际占用了多少内存

TTY: 终端的次要装置号码 (minor device number of

tty)

STAT 进程当前的状态(“S”:中断 sleeping,进程处在睡眠状态,表明这些进程在等待某些事件发生–可能是用户输入或者系统资源的可用性;“D”:不可中断 uninterruptible

sleep;“R”:运行 runnable;“T”:停止 traced or stopped;“Z”:僵死 a defunct zombie process)

START 启动命令的时间点

TIME 进程执行起到现在总的CPU暂用时间

COMMAND 启动这个进程的命令

2.ps -ef

3.lsof –p PID

4.pstree

5.top

使用方式: 默认进入top时，各进程是按照CPU的占用量来排序的

敲击键盘“b”（打开/关闭加亮效果）可以通过敲击“y”键关闭或打开运行态进程的加亮效果

敲击键盘“x”（打开/关闭排序列的加亮效果）

通过”shift + >”或”shift + <”可以向右或左改变排序列

敲击“f”键，top进入另一个视图

6.结束进程

kill -9 PID

pkill -9 PID

往期精选