通过端口和进程pid查找启动文件/脚本

今天审计一个程序又让GPT给我上了一课，记一下笔记：

1、首先该程序开启了8080端口，使用如下命令得到pid为1817

netstat -tunlp|grep 8080

2、使用pid得到父进程

pstree -ps 1817

输出结果如下：

3、看出程序是由systemd启动的，这表明该进程可能是通过一个systemd服务启动的。
列出所有的systemd服务并查找可能相关的服务名称，得到的服务名称为tomcat.service：

systemctl list-units --type=service | grep -i java
systemctl list-units --type=service | grep -i tomcat

4、查看该服务：

systemctl cat tomcat.service

5、查看ExecStart字段，这个字段包含了实际启动进程的命令。
所以得出这个程序启动为：/usr/libexec/tomcat/server start

然后修改/usr/libexec/tomcat/server文件就可以愉快的jvm和重启程序了。