linux - 找出Linux中哪个用户启动了root进程

Question

假设有人使用 sudo 运行 htop:

$sudo htop

我知道我们可以通过以下方式获取htop进程的用户名:

$ps aux | grep htop

但在这种情况下，它只返回 root 作为用户名:

$ps aux | grep htop
root      21186  0.0  0.0  71256  4148 pts/2    S+   17:16   0:00 sudo htop
root      21187  2.6  0.0  31460  5128 pts/2    S+   17:16   0:21 htop

如何找出 root 后面的用户？

Answer 1

这可能对你有用。它从 /var/log/auth.log 中获取使用 sudo 执行的命令:

awk '/sudo/&&/COMMAND/ {
    print gensub(/sudo: ([^ ]*).*USER=([^ ]*).*COMMAND=([^ ]*)/,
                 "\\1 (as \\2) command: \\3", 1)
}' /var/log/auth.log