linux - 有没有办法可以在 linux 上查看真实进程 cmdline？

Question

这是在 linux 上伪造进程名称和 cmdline 的简单代码:

#include <string.h>
#include <sys/prctl.h>
#include <stdio.h>
#include <unistd.h>
#define NewName "bash"
#define ProcNameMaxLen 16

int main(int argc, char **argv){
    int oldlen = strlen(*argv);
    char procname[ProcNameMaxLen];
    memset(*argv, 0, oldlen);
    memccpy(*argv, NewName, 0, oldlen); //modify cmdline
    memccpy(procname, NewName, 0, ProcNameMaxLen);
    prctl(PR_SET_NAME, procname); //modify procname
    sleep(60);
    return 0;
}

运行这段代码后无法通过ps查看真实姓名，

但是在/proc/xxx/exe和/proc/xxx/environ中可以找到一些东西，但是很麻烦。

有没有什么好的方法可以查看所有进程的真实信息？

我认为这是一个很大的安全问题，因为我通常在我的服务器上通过 ps 检查进程。

---

方式一:lsof -d txt

等待更多答案...

Answer 1

lsof将告诉您原始可执行文件名称，因为它是恶意进程的打开文件之一。您可以使用 -p 选项检查多个进程，或使用 -u 选项查询单个用户。