@q27off

Как получить информацию о процессе, завершившем свою работу?

Здравствуйте.

Насколько я помню, если родитель процесса прекращает свою работу, то родителем становится init. А как можно получить информацию о первичном родителе процесса, если этот родитель уже завершил свою работу? Можно ли получить информацию о родителе первичного родителя?

Предположим, что злоумышленник получил доступ к серверу. Затем в своей ssh-сессии он выполняет цепочку форков, которая порождает некий воркер. Так вот, как раскрутить всю эту цепочку, имея один лишь PID воркера?
  • Вопрос задан
  • 68 просмотров
Пригласить эксперта
Ответы на вопрос 1
если родитель процесса прекращает свою работу, то родителем становится init.
Родителем чего становится init?

Можно ли получить информацию о родителе первичного родителя?
Обычно это init.

Когда процесс завершается, ОС (не всегда сразу) освобождает затребованные им ресурсы и всё что было с ним связано. Только записи в журнальных файлах могут остаться.

как раскрутить всю эту цепочку, имея один лишь PID воркера?
Если процесс существует в том или ином виде, можно посмотреть дерево процессов и его прародителя. Только толку от этого?
С грамотным настроенным логированием и аудитом намного проще и понятнее.
Ответ написан
Комментировать
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы