0 前言
系统进程信息是电脑网络信息安全检查中的一块重要内容，对于使用Linux和基于Linux作为操作系统的电脑来说，可以使用ps命令。
1 ps命令 的功能、格式和选项说明
1.1 ps命令 的功能
Linux 中的ps（意为：process status）命令用于显示当前进程的状态，类似于Windows系统中的tasklist 命令，我们可以查看系统中运行的进程信息，包括进程的ID、父进程ID、CPU和内存占用等信息，并可以根据需求进行进一步的过滤和排序。
我们可以使用命令 ps --help 来查看ps命令的帮助信息。
[purpleendurer @ bash ~ ] ps --help
Usage:
ps [options]
Try 'ps --help <simple|list|output|threads|misc|all>'
or 'ps --help <s|l|o|t|m|a>'
for additional help text.
For more details see ps(1).
[purpleendurer @ bash ~ ]
1.2 ps命令的格式
ps [选项]
1.3 ps命令的选项
ps命令的选项非常多。
[purpleendurer @ bash ~ ] ps --help simple
Usage:
ps [options]
Basic options:
-A, -e all processes
-a all with tty, except session leaders
a all with tty, including other users
-d all except session leaders
-N, --deselect negate selection
r only running processes
T all processes on this terminal
x processes without controlling ttys
For more details see ps(1).
[purpleendurer @ bash ~ ] ps --help list
Usage:
ps [options]
Selection by list:
-C <command> command name
-G, --Group <GID> real group id or name
-g, --group <group> session or effective group name
-p, p, --pid <PID> process id
--ppid <PID> parent process id
-q, q, --quick-pid <PID>
process id (quick mode)
-s, --sid <session> session id
-t, t, --tty <tty> terminal
-u, U, --user <UID> effective user id or name
-U, --User <UID> real user id or name
The selection options take as their argument either:
a comma-separated list e.g. '-u root,nobody' or
a blank-separated list e.g. '-p 123 4567'
For more details see ps(1).
[purpleendurer @ bash ~ ]
[purpleendurer @ bash ~ ] ps --help output
Usage:
ps [options]
Output formats:
-F extra full
-f full-format, including command lines
f, --forest ascii art process tree
-H show process hierarchy
-j jobs format
j BSD job control format
-l long format
l BSD long format
-M, Z add security data (for SELinux)
-O <format> preloaded with default columns
O <format> as -O, with BSD personality
-o, o, --format <format>
user-defined format
s signal format
u user-oriented format
v virtual memory format
X register format
-y do not show flags, show rss vs. addr (used with -l)
--context display security context (for SELinux)
--headers repeat header lines, one per page
--no-headers do not print header at all
--cols, --columns, --width <num>
set screen width
--rows, --lines <num>
set screen height
For more details see ps(1).
[purpleendurer @ bash ~ ]
[purpleendurer @ bash ~ ] ps --help threads
Usage:
ps [options]
Show threads:
H as if they were processes
-L possibly with LWP and NLWP columns
-m, m after processes
-T possibly with SPID column
For more details see ps(1).
[purpleendurer @ bash ~ ]
[purpleendurer @ bash ~ ] ps --help misc
Usage:
ps [options]
Miscellaneous options:
-c show scheduling class with -l option
c show true command name
e show the environment after command
k, --sort specify sort order as: [+|-]key[,[+|-]key[,...]]
L show format specifiers
n display numeric uid and wchan
S, --cumulative include some dead child process data
-y do not show flags, show rss (only with -l)
-V, V, --version display version information and exit
-w, w unlimited output width
--help <simple|list|output|threads|misc|all>
display help and exit
For more details see ps(1).
[purpleendurer @ bash ~ ]
[purpleendurer @ bash ~ ] ps --help all
Usage:
ps [options]
Basic options:
-A, -e all processes
-a all with tty, except session leaders
a all with tty, including other users
-d all except session leaders
-N, --deselect negate selection
r only running processes
T all processes on this terminal
x processes without controlling ttys
Selection by list:
-C <command> command name
-G, --Group <GID> real group id or name
-g, --group <group> session or effective group name
-p, p, --pid <PID> process id
--ppid <PID> parent process id
-q, q, --quick-pid <PID>
process id (quick mode)
-s, --sid <session> session id
-t, t, --tty <tty> terminal
-u, U, --user <UID> effective user id or name
-U, --User <UID> real user id or name
The selection options take as their argument either:
a comma-separated list e.g. '-u root,nobody' or
a blank-separated list e.g. '-p 123 4567'
Output formats:
-F extra full
-f full-format, including command lines
f, --forest ascii art process tree
-H show process hierarchy
-j jobs format
j BSD job control format
-l long format
l BSD long format
-M, Z add security data (for SELinux)
-O <format> preloaded with default columns
O <format> as -O, with BSD personality
-o, o, --format <format>
user-defined format
s signal format
u user-oriented format
v virtual memory format
X register format
-y do not show flags, show rss vs. addr (used with -l)
--context display security context (for SELinux)
--headers repeat header lines, one per page
--no-headers do not print header at all
--cols, --columns, --width <num>
set screen width
--rows, --lines <num>
set screen height
Show threads:
H as if they were processes
-L possibly with LWP and NLWP columns
-m, m after processes
-T possibly with SPID column
Miscellaneous options:
-c show scheduling class with -l option
c show true command name
e show the environment after command
k, --sort specify sort order as: [+|-]key[,[+|-]key[,...]]
L show format specifiers
n display numeric uid and wchan
S, --cumulative include some dead child process data
-y do not show flags, show rss (only with -l)
-V, V, --version display version information and exit
-w, w unlimited output width
--help <simple|list|output|threads|misc|all>
display help and exit
For more details see ps(1).
[purpleendurer @ bash ~ ]
[purpleendurer @ bash ~ ] ps --help a
Usage:
ps [options]
Basic options:
-A, -e all processes
-a all with tty, except session leaders
a all with tty, including other users
-d all except session leaders
-N, --deselect negate selection
r only running processes
T all processes on this terminal
x processes without controlling ttys
Selection by list:
-C <command> command name
-G, --Group <GID> real group id or name
-g, --group <group> session or effective group name
-p, p, --pid <PID> process id
--ppid <PID> parent process id
-q, q, --quick-pid <PID>
process id (quick mode)
-s, --sid <session> session id
-t, t, --tty <tty> terminal
-u, U, --user <UID> effective user id or name
-U, --User <UID> real user id or name
The selection options take as their argument either:
a comma-separated list e.g. '-u root,nobody' or
a blank-separated list e.g. '-p 123 4567'
Output formats:
-F extra full
-f full-format, including command lines
f, --forest ascii art process tree
-H show process hierarchy
-j jobs format
j BSD job control format
-l long format
l BSD long format
-M, Z add security data (for SELinux)
-O <format> preloaded with default columns
O <format> as -O, with BSD personality
-o, o, --format <format>
user-defined format
s signal format
u user-oriented format
v virtual memory format
X register format
-y do not show flags, show rss vs. addr (used with -l)
--context display security context (for SELinux)
--headers repeat header lines, one per page
--no-headers do not print header at all
--cols, --columns, --width <num>
set screen width
--rows, --lines <num>
set screen height
Show threads:
H as if they were processes
-L possibly with LWP and NLWP columns
-m, m after processes
-T possibly with SPID column
Miscellaneous options:
-c show scheduling class with -l option
c show true command name
e show the environment after command
k, --sort specify sort order as: [+|-]key[,[+|-]key[,...]]
L show format specifiers
n display numeric uid and wchan
S, --cumulative include some dead child process data
-y do not show flags, show rss (only with -l)
-V, V, --version display version information and exit
-w, w unlimited output width
--help <simple|list|output|threads|misc|all>
display help and exit
For more details see ps(1).
[purpleendurer @ bash ~ ]
ps命令的选项分为基本选项、列表选项、输出格式选项、显示线程选项和杂项五类，如下：
|-----------------------------------------------------|--------------------------------------------------------------|
| 基本选项 | 功能 |
| -A | 显示所有的进程，包括前台的、后台的、其他用户的进程，跟-e的效果相同 |
| -a | 显示所有终端下除了session leaders外的所有进程（ssh登录的shell是一种session leader） |
| a | 显示所有终端主机下存在的进程，包括session leaders进程 |
| -d | 显示除了session leaders外的进程 |
| -e | 显示所有的进程，包括前台的、后台的、其他用户的进程，跟-A的效果相同 |
| -N --deselect | 否定选择 |
| r | 仅显示终端主机正在执行中的程序 |
| T | 显示当前终端主机下的所有程序 |
| -x | 显示所有程序，不以终端机来区分。通常与 a 这个参数一起使用，可列出较完整信息 |
| 列表选项 | 功能 |
| -C <command> | 显示命令名 |
| -G --Group <GID> | 显示真实的组 ID 或名称 |
| -g --group <group> | 显示会话或有效组名称 |
| -p p --pid <PID> | 显示进程ID |
| --ppid <PID> | 显示父进程ID |
| -q q --quick-pid <PID> | 显示进程 id (快速模式) |
| -s --sid <session> | 显示会话ID |
| -t t --tty <tty> | 显示终端 |
| -u [<UID>] u <UID> --user <UID> | 显示指定UID的有效用户的进程状态，未指定UID则显示当前用户的进程状态 |
| -U <UID> --User <UID> | 显示指定UID的真实用户的进程状态 |
| 输出格式选项 | 功能 |
| --context | 显示安全上下文(用于 SELinux) |
| --cols <num> --columns <num> | 设置屏幕宽度 |
| -F | |
| -f | 把进程的所有信息都显示出来，包括命令行 |
| f --forest | 用ASCII字符显示树状结构 |
| --format <format> | 用户定义的格式 |
| -H | 显示进程层次结构 |
| --headers | 重复标题行，每页一行 |
| -j | 作业格式 |
| j | BSD 作业控制格式 |
| -l | 较长、较详细的格式 |
| l | BSD的长格式 |
| --lines <num> | 设置屏幕高度 |
| -M | 添加安全数据（适用于 SELinux） |
| --no-headers | 不打印标题 |
| -O <format> | 预加载默认列 |
| O <format> | 与-O相似，但是具有BSD |
| -o <format> o <format> | 与--format 相同，用户定义的格式 |
| --rows <num> | 设置屏幕高度 |
| s | 信号格式 |
| u | 面向用户的格式 |
| v | 虚拟内存格式 |
| --width <num> | 设置屏幕宽度 |
| X | 寄存器格式 |
| -y | 不显示标志，显示 RSS 与 ADDR（与 -l 一起使用） |
| 显示线程选项 | 功能 |
| H | 就好像它们是过程一样 |
| -L | 可能带有 LWP 和 NLWP 列 |
| -m m | 处理后 |
| -T | 可能与 SPID 列 |
| 杂项 | 功能 |
| -c | 显示调度类（与-l 选项使用） |
| --cumulative | 包括一些死亡子进程数据 |
| c | 显示真命令名 |
| e | 命令后显示环境 |
| --help <simple|list|output|threads|misc|all> | 显示帮助和退出 |
| k | 将排序顺序指定为: [ + |-] key [ ，[ + |-] key [ ，... ]] |
| L | 显示格式说明符 |
| n | 显示数字 uid 和 wchan |
| S | 包括一些死亡子进程数据，与 --cumulative 相同 |
| --sort | 将排序顺序指定为: [ + |-] key [ ，[ + |-] key [ ，... ]] |
| -y | 不显示标志，显示 rss (只与-l配合使用) |
| -V V --version | 显示版本信息并退出 |
| -w w | 无限输出宽度 |
2.进程的PID、PPID，PGID和SID
在Linux中，每个进程都有多个与之关联的 ID，包括：
2.1 进程 ID （**Process ID，**PID）
这是标识进程的任意数字。每个进程都有一个唯一的 ID，但在进程退出并且父进程检索到退出状态后，该进程 ID 将被释放以供新进程重用。
2.2 父进程 ID （Parent Process ID，PPID）
这只是启动相关进程的进程的 PID。如果父进程在子进程之前退出，则子进程的 PPID 将更改为另一个进程（通常为 PID 1）。
2.3 进程组 ID （**Process Group ID，**PGID）
进程组领导者的 PID。如果 PID == PGID，则此进程是进程组的领导者。
2.4 会话 ID （**Session ID，**SID）
这只是会话领导者的 PID。如果 PID == SID，则此进程是会话领导者。
会话和进程组只是将许多相关进程视为一个单元的方法。进程组的所有成员始终属于同一会话，但一个进程可能具有多个进程组。
通常，一个 shell 就是一个会话领导者，该 shell 执行的每个命令进程都将是一个进程组。这是为了在shell退出时很容易杀死shell的子进程。
3 Linux进程的状态
linux中进程有以下几种状态：
- R------Runnable（运行）：正在运行或在运行队列中等待。只有在该状态的进程才可能在CPU上运行。而同一时刻可能有多个进程处于可执行状态，这些进程的task_struct结构（进程控制块）被放入对应CPU的可执行队列中（一个进程最多只能出现在一个CPU的可执行队列中）。进程调度器的任务就是从各个CPU的可执行队列中分别选择一个进程在该CPU上运行。
- S------sleeping（中断）：休眠中，受阻，在等待某个条件的形成或接收到信号。处于这个状态的进程因为等待某某事件的发生（比如等待socket连接、等待信号量），而被挂起。这些进程的task_struct结构被放入对应事件的等待队列中。当这些事件发生时（由外部中断触发、或由其他进程触发），对应的等待队列中的一个或多个进程将被唤醒。
- D------uninterruptible sleep(不可中断)：收到信号不唤醒和不可运行，进程必须等待直到有中断发生。与TASK_INTERRUPTIBLE状态类似，进程处于睡眠状态，但是此刻进程是不可中断的。不可中断，指的并不是CPU不响应外部硬件的中断，而是指进程不响应异步信号。绝大多数情况下，进程处在睡眠状态时，总是应该能够响应异步信号的。
- Z------zombie（僵死）：进程已终止，但进程描述还在，直到父进程调用wait4()系统调用后释放。这个退出过程中，进程占有的所有资源将被回收，除了task_struct结构（以及少数资源）以外。于是进程就只剩下task_struct这么个空壳，故称为僵尸。之所以保留task_struct，是因为task_struct里面保存了进程的退出码、以及一些统计信息。而其父进程很可能会关心这些信息。比如在shell中，$?变量就保存了最后一个退出的前台进程的退出码，而这个退出码往往被作为if语句的判断条件。
- T------traced or stoppd(停止)：进程收到SiGSTOP，SIGSTP，SIGTOU信号后停止运行。对于进程本身来说，TASK_STOPPED和TASK_TRACED状态很类似，都是表示进程暂停下来。
而TASK_TRACED状态相当于在TASK_STOPPED之上多了一层保护，处于TASK_TRACED状态的进程不能响应SIGCONT信号而被唤醒。只能等到调试进程通过ptrace系统调用执行PTRACE_CONT、PTRACE_DETACH等操作（通过ptrace系统调用的参数指定操作），或调试进程退出，被调试的进程才能恢复TASK_RUNNING状态。- W： 进入内存交换（从内核2.6开始无效）
- X------TASK_DEAD -- EXIT_DEAD（死亡的任务-退出死亡)：退出状态，进程即将被销毁。进程将被置于EXIT_DEAD退出状态，这意味着接下来的代码立即就会将该进程彻底释放。所以EXIT_DEAD状态是非常短暂的，几乎不可能通过ps命令捕捉到。
- <： 高优先级
- N： 低优先级
- L： 有些页被锁进内存
- s： 包含子进程
- \+： 位于后台的进程组
- l ： 多线程，克隆线程
4 ps 命令实例
4.1 ps -A
[purpleendurer @ bash ~] ps -A
PID TTY TIME CMD
1 pts/0 00:00:00 zsh
47 pts/1 00:00:00 zsh
72 pts/2 00:00:00 zsh
100 pts/1 00:00:00 bash
115 pts/3 00:00:00 zsh
142 pts/4 00:00:00 zsh
169 pts/5 00:00:00 zsh
194 pts/6 00:00:00 zsh
222 pts/6 00:00:00 bash
237 pts/6 00:00:00 ps
[purpleendurer @ bash ~]
命令列出了10条进程信息
包括4列内容，其中：
- PID：进程ID
- TTY：与进程关联的终端，涵盖pts/0~pts/6。如果是？，就是与终端无关的进程，即后台服务，意味着它不依赖于终端。
- TIME：进程从触发开始所运行的时间
- CMD：启动进程的命令
4.2 ps -a
[purpleendurer @ bash ~] ps -a
PID TTY TIME CMD
100 pts/1 00:00:00 bash
222 pts/6 00:00:00 bash
238 pts/6 00:00:00 ps
[purpleendurer @ bash ~]
与2.1相比，命令列只出了3个进程，TTY分别为pts/1、pts/6。
4.3 ps a
[purpleendurer @ bash ~] ps a
PID TTY STAT TIME COMMAND
1 pts/0 Ss+ 0:00 /bin/zsh
47 pts/1 Ss 0:00 /bin/zsh
72 pts/2 Ss+ 0:00 /bin/zsh
100 pts/1 S+ 0:00 bash
115 pts/3 Ss+ 0:00 /bin/zsh
142 pts/4 Ss+ 0:00 /bin/zsh
169 pts/5 Ss+ 0:00 /bin/zsh
194 pts/6 Ss 0:00 /bin/zsh
222 pts/6 S 0:00 bash
239 pts/6 R+ 0:00 ps a
[purpleendurer @ bash ~]
命令列出了10个进程 ，数量与 2.1相同，比2.2 不仅多了7个进程信息，包括了TTY值为pts/0、pts/2、pts/3、pts/4和pts/5的进程信息，而且在信息项数量上，也多了1列，即：
STAT（即：状态）。
4.4 ps -d
[purpleendurer @ bash ~ ]ps -d
PID TTY TIME CMD
102 pts/1 00:00:00 bash
115 pts/1 00:00:00 ps
[purpleendurer @ bash ~ ]ps -a
PID TTY TIME CMD
102 pts/1 00:00:00 bash
116 pts/1 00:00:00 ps
[purpleendurer @ bash ~ ]
从命令返回信息来看，-d 和 -a选项还是有一些差别的。
4.5 ps -f
[purpleendurer @ bash ~ ]ps -f
UID PID PPID C STIME TTY TIME CMD
csdn 47 0 0 23:24 pts/1 00:00:00 /bin/zsh
csdn 106 47 0 23:24 pts/1 00:00:00 bash
csdn 120 106 0 23:24 pts/1 00:00:00 ps -f
[purpleendurer @ bash ~ ]
返回的信息中有8列，其中多出的3列是：
- PPID ：父进程ID
- C ： CPU?
- STIME：进程触发的时间
通过对比PID和PPID，我们可以看出进程之间的父子衍生关系。
2.5 ps -F
[purpleendurer @ bash ~ ]ps -F
UID PID PPID C SZ RSS PSR STIME TTY TIME CMD
csdn 47 0 0 10039 5044 0 23:24 pts/1 00:00:00 /bin/zsh
csdn 106 47 0 3781 3488 0 23:24 pts/1 00:00:00 bash
csdn 119 106 0 13763 3808 0 23:24 pts/1 00:00:00 ps -F
返回信息包括11列，比 2.4 多了3列：
- SZ ：进程核心映像的页面大小
- RSS：驻留空间的大小。显示当前常驻内存的程序的K字节数。
- PSR：绑定内核线程的处理器(如果有)的逻辑处理器号
4.6 ps -aux
[purpleendurer @ bash ~ ]ps -aux
USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND
csdn 1 0.0 0.1 40356 5140 pts/0 Ss+ 00:02 0:00 /bin/zsh
csdn 46 0.0 0.1 40156 4956 pts/1 Ss+ 00:02 0:00 /bin/zsh
csdn 70 0.0 0.1 40156 5024 pts/2 Ss+ 00:02 0:00 /bin/zsh
csdn 98 0.0 0.1 40156 4888 pts/3 Ss+ 00:13 0:00 /bin/zsh
csdn 123 0.0 0.1 40156 5016 pts/4 Ss+ 00:13 0:00 /bin/zsh
csdn 152 0.0 0.1 40156 5044 pts/5 Ss 00:24 0:00 /bin/zsh
csdn 177 0.0 0.1 40156 4944 pts/6 Ss+ 00:24 0:00 /bin/zsh
csdn 205 0.0 0.0 15124 3404 pts/5 S 00:24 0:00 bash
csdn 219 0.0 0.1 55052 3912 pts/5 R+ 00:26 0:00 ps -aux
[purpleendurer @ bash ~ ]
返回的信息共有11列，其中：
- %CPU ： 进程的cpu占用率
- %MEM： 进程使用内存的百分比
- VSZ ： 进程使用的虚拟内存大小，以K为单位
4.7 ps -ef
[purpleendurer @ bash ~ ]ps -ef
UID PID PPID C STIME TTY TIME CMD
csdn 1 0 0 00:02 pts/0 00:00:00 /bin/zsh
csdn 46 0 0 00:02 pts/1 00:00:00 /bin/zsh
csdn 70 0 0 00:02 pts/2 00:00:00 /bin/zsh
csdn 98 0 0 00:13 pts/3 00:00:00 /bin/zsh
csdn 123 0 0 00:13 pts/4 00:00:00 /bin/zsh
csdn 152 0 0 00:24 pts/5 00:00:00 /bin/zsh
csdn 177 0 0 00:24 pts/6 00:00:00 /bin/zsh
csdn 205 152 0 00:24 pts/5 00:00:00 bash
csdn 218 205 0 00:24 pts/5 00:00:00 ps -ef
[purpleendurer @ bash ~ ]
