☰

데비안 불스아이에서 루트로 실행되는 의심스러운 pgrep

tag-icon • tag-icon debian security process tracing pgrep
데비안 불스아이에서 루트로 실행되는 의심스러운 pgrep

컴퓨터가 유휴 상태일 때에도 내 노트북에는 팬 활동이 꽤 많습니다. 내 프로세스를 보면 topCPU를 좀 차지하는 프로세스가 가끔 등장합니다. pgrep로 실행됩니다 root. 이것이 무엇인지 아는 사람 있나요?이것은 알아야 할 사항입니까, 아니면 단지 일반적인 시스템 루틴입니까?

여기에 이미지 설명을 입력하세요.

  Operating System: Debian GNU/Linux bullseye/sid
            Kernel: Linux 5.6.0-2-686-pae
      Architecture: x86

루프 를 실행하여 while true; do pgrep -au root | grep pgrep; done언제 시작되는지 확인합니다. 다음과 같습니다 log.

22713 pgrep -n startx
22713 pgrep -n startx
22767 pgrep -n startx
22767 pgrep -n startx[...]

무엇이 프로세스를 시작했는지 확인할 수 있는 방법이 있나요?

고쳐 쓰다:달리다스크립트@hauke-laging에서 이것이 /etc/acpi/power.sh상위 프로세스인 것으로 보입니다.

-------------------------
10359 10358 root     root     pgrep -n startx
parent process:
10358  5645 root     root     /bin/sh /etc/acpi/power.sh

여기있어:

#!/bin/sh

test -f /usr/share/acpi-support/key-constants || exit 0

. /usr/share/acpi-support/power-funcs
. /usr/share/acpi-support/policy-funcs

if { CheckPolicy || CheckUPowerPolicy; }; then
    exit
fi

cat /usr/share/acpi-support/power-funcs | grep pgrep 시작해보자:

startx=$(pgrep -n startx || :)

답변1

변수를 sum awk으로 변경합니다 .rootpgrep

$ /bin/ps -eo pid,ppid,user,euser,args |
    awk -v user=hl -v procname=kwalletd5 '{ a[$1]=$0; }; '\
'( $3==user || $4==user ) && $5 ~ procname '\
'{ print "-------------------------"; print; print "parent process:"; print a[$2]; }'

-------------------------
 4730  2725 hl       hl       /usr/bin/kwalletd5
parent process:
 2725     1 hl       hl       /usr/lib/systemd/systemd --user
-------------------------
30655     1 hl       hl       /usr/bin/kwalletd5
parent process:
    1     0 root     root     /usr/lib/systemd/systemd --switched-root --system --deserialize 31

관련 정보