#لینوکس_پیشرفته

🔍 چه چیزی مخفیانه یک پردازش را اجرا می‌کند؟

اگر یک پردازش روی سیستم شما مرتباً اجرا می‌شود و با ps یا top نمی‌توانید منشأ آن را پیدا کنید، ابزار execsnoop به شما کمک می‌کند.
این ابزار با استفاده از eBPF اجرای برنامه‌ها را در لحظه رصد می‌کند؛ حتی پردازش‌هایی که فقط چند میلی‌ثانیه اجرا می‌شوند.
📌 ۱. نصب ابزار

sudo apt install bpfcc-tools

📌 ۲. مشاهده اجرای پردازش‌ها

sudo execsnoop-bpfcc

📌 ۳. نمایش زمان اجرای پردازش‌ها

sudo execsnoop-bpfcc -t

📌 ۴. فیلتر بر اساس نام curl

sudo execsnoop-bpfcc -n curl

📌 ۵. بررسی دسترسی به فایل‌ها

sudo opensnoop-bpfcc

🔐 چه اطلاعاتی به دست می‌آورید؟
یک PID: شناسه پردازش
دو PPID: شناسه پردازش والد
سه ARGS: آرگومان‌های اجرای برنامه

با بررسی این اطلاعات می‌توانید منشأ اجرای مجدد برنامه‌ها، اسکریپت‌های زمان‌بندی‌شده و سرویس‌های مشکوک را راحت‌تر پیدا کنید.
💡 نکته: اجرای مداوم یک پردازش لزوماً نشانه بدافزار نیست؛ ابتدا پردازش والد و تنظیمات سرویس را بررسی کنید.

🌐 آکادمی کندوی دانش | مرجع فارسی لینوکس و متن‌باز
https://learninghive.ir/
🔹 کانال تلگرام:
https://t.me/linuxtnt
🔹 کانال در اپلیکیشن بله:
http://ble.ir/linuxtnt