如何找到进程的起源并永久停止它？

Question

我有一个运行 apache 服务器的 Ubuntu 系统。我发现了一个进程cache.sh，我认为它可能是一个加密货币挖掘进程，并且它一直在我的服务器上运行，消耗了高达 98% 的 CPU。这导致其他东西停止工作，比如 MySQL 和 apache。

我用这个top命令发现它cache.sh消耗了所有的CPU。

我尝试终止该进程，但一段时间后它又开始运行。

然后我了解到我可以暂停该进程而不是杀死它，这效果很好，但我仍然想找出它是什么并永久摆脱它。重新启动整个服务器后，此过程将自动启动。

该进程cache.sh在 www-data 用户下运行，该用户还负责处理在同一用户下运行的 apache 进程。

我该怎么做才能找到这个过程的根源并解决这个问题？

Answer 1

查看/proccache.sh进程的目录。每个进程都有一个/proc/<pid>/目录，其中保存如下信息：

\n\n

\n
• cwd – 链接到当前工作目录\ xe2 \x80\x8airectory
\n
• fd –包含打开文件链接的目录（文件描述符）
\n
• cmdline – 阅读它以查看使用什么命令行来启动进程
\n
• environ – 该进程的环境变量
\n
• root – 指向进程认为其根目录的链接。除非 chrooted，否则将会如此/。
\n

\n\n

运行ps auxf将显示谁分叉了哪些内容，因此您可以更好地了解什么在调用您的进程。

\n\n

运行lsof -p PID显示正在运行的进程打开的文件。

\n\n

_{来源：Linux：如何知道进程在哪里启动以及如何启动？}

\n