我的进程去哪儿了，谁杀了我的进程

最新推荐文章于 2022-08-31 10:53:53 发布

zisedeqing

最新推荐文章于 2022-08-31 10:53:53 发布

阅读量535

点赞数

谁发的信号

回到顶部

　　更普遍的，即使我们知道进程被SIGKILL干掉了，这没有什么用。关键是得找出谁发送的这个信号，是故意的还是意外，也许是新手写的脚本误伤，也许是老手故意搞破坏。

　　最简单的，那就是查看last与history，last看看谁登陆到了系统，然后再用history看看相关的操作记录。可是，操作记录是可以被清除的，history -c可以清除本终端上的操作记录，也可以直接清空、删除.bash_history，也许有更高级的手段来禁止清空操作记录，但到底是道高一尺魔高一丈，还是魔高一尺道高一丈，我也就不清楚了。

systemtap

　　在who-killed-my-process-and-why中，指出了其中的一种办法，使用systemtap，笔者也是第一次听说这个家伙，据说非常强大。官方给出了捕获信号的示例代码。

复制代码

probe begin
{
  printf("%-8s %-16s %-5s %-16s %6s %-16s\n",
         "SPID", "SNAME", "RPID", "RNAME", "SIGNUM", "SIGNAME")
}

probe signal.send 
{
  if (sig_name == @1 && sig_pid == target())
    printf("%-8d %-16s %-5d %-16s %-6d %-16s\n", 
      pid(), execname(), sig_pid, pid_name, sig, sig_name)
}

复制代码

　　将上述代码保存为sigmon.stp文件，然后查看待监控的进程的pid，使用下述命令监控发送到该进程的SIGKILL信号

stap -x pid sigmon.stp SIGKILL

　　不过这种方法，我并没有实验成功，systemtap的安装太麻烦了。。。

audit

　　在Who sends a SIGKILL to my process mysteriously on ubuntu server中，提到了另外一个更加简单的方法，那就是使用audit

　　安装很简单：sudo apt-get install auditd

　　启动服务并查看状态： service auditd start & service auditd status

　　然后通过auditctrl添加规则： auditctl -a exit,always -F arch=b64 -S kill -F a1=9

　　启动然后kill掉Python程序

$ python run_forever.py &
[1] 24067
$ kill -9 24067

　　使用ausearch搜索结果： ausearch -sc kill。结果如下　

time->Mon Dec 25 19:52:55 2017
type=PROCTITLE msg=audit(1514202775.088:351): proctitle="bash"
type=OBJ_PID msg=audit(1514202775.088:351): opid=24067 日uid=-1 ouid=3010 oses=-1 ocomm="python"
type=SYSCALL msg=audit(1514202775.088:351): arch=c000003e syscall=62 success=yes exit=0 a0=5e03 a1=9 a2=0 a3=7ffc0d9f7b90 items=0 ppid=1349 pid=1350 uid=3010 gid=3010 euid=3010 suid=3010 fsuid=3010 egid=3010 sgid=3010 fsgid=3010 tty=pts0 comm="bash" exe="/bin/bash" key=(null)

　　可以看到，信号的目标进程是一个python程序，pid是24067，启动该进程的用户的id是3010。kil进程的信号被用户3010在pid为1350的bash中发出。