ps：完整命令太长

Question 1

在 Linux 上，使用psfrom procps(-ng)：

ps -fwwp 2755

在 4.2 之前的 Linux 版本中，它仍然受到限制（由内核 ( /proc/2755/cmdline) 限制为 4k），并且除非要求进程告诉您或使用调试器，否则您无法获得更多。

$ sh -c 'sleep 1000' $(seq 4000) &
[1] 31149
$ gdb -p $! /bin/sh
[...]
Attaching to program: /bin/dash, process 31149
[...]
(gdb) bt
#0  0x00007f40d11f40aa in wait4 () at ../sysdeps/unix/syscall-template.S:81
[...]
#7  0x00007f40d115c995 in __libc_start_main (main=0x4022c0, argc=4003, ubp_av=0x7fff5b9f5a88, init=<optimized out>, fini=<optimized out>, rtld_fini=<optimized out>, stack_end=0x7fff5b9f5a78)
at libc-start.c:260
#8  0x00000000004024a5 in ?? ()
#9  0x00007fff5b9f5a78 in ?? ()
#10 0x0000000000000000 in ?? ()
(gdb) frame 7
#7  0x00007f40d115c995 in __libc_start_main (main=0x4022c0, argc=4003, ubp_av=0x7fff5b9f5a88, init=<optimized out>, fini=<optimized out>, rtld_fini=<optimized out>, stack_end=0x7fff5b9f5a78)
at libc-start.c:260
(gdb) x/4003s *ubp_av
0x7fff5b9ff83e: "sh"
0x7fff5b9ff841: "-c"
0x7fff5b9ff844: "sleep 1000"
0x7fff5b9ff84f: "1"
0x7fff5b9ff851: "2"
[...]
0x7fff5ba04212: "3999"
0x7fff5ba04217: "4000"

要打印最多 5000 个字符的第 4 个参数：

(gdb) set print elements 5000
(gdb) p ubp_av[3]

如果您想要非侵入性的内容，您可以尝试从中获取信息/proc/2755/mem（请注意，如果kernel.yama.ptrace_scope未设置为 0，您将需要超级用户权限）。下面的内容对我有用（打印所有参数和环境变量），但我认为没有太多保证（错误和意外输入处理留给读者作为练习）：

$ perl -e '$p=shift;open MAPS, "/proc/$p/maps";
          ($m)=grep /\[stack\]/, <MAPS>;
          ($a,$b)=map hex, $m =~ /[\da-f]+/g;
          open MEM, "/proc/$p/mem" or die "open mem: $!";
          seek MEM,$a,0; read MEM, $c,$b-$a;
          print((split /\0{2,}/,$c)[-1])' "$!" | tr \\0 \\n | head
sh
-c
sleep 1000
1
2
3
4
5
6
7

（替换"$!"为进程 ID）。上面使用了这样的事实：Linux 将指向的字符串argv[]和envp[]执行的文件名放在进程堆栈的底部。

上面的代码在该堆栈中查找两组两个或多个连续 NUL 字节之间的最底部字符串。如果任何参数或 env 字符串为空，它就不起作用，因为这样在这些 argv 或 envp 中间就会有一个 2 NUL 字节的序列。另外，我们不知道 argv 字符串在哪里停止以及 envp 字符串在哪里开始。

argv[]解决这个问题的方法是通过向后查找（指针）的实际内容来完善启发式。下面的代码至少适用于 ELF 可执行文件的 i386 和 amd64 架构：

perl -le '$p=shift;open MAPS, "/proc/$p/maps";
      ($m)=grep /\[stack\]/, <MAPS>;
      ($a,$b)=map hex, $m =~ /[\da-f]+/g;
      open MEM, "/proc/$p/mem" or die "open mem: $!";
      seek MEM,$a,0; read MEM, $c,$b-$a;
      $c =~ /.*\0\0\K[^\0].*\0[^\0]*$/s;
      @a=unpack"L!*",substr$c,0,$-[0];
      for ($i = $#a; $i >=0 && $a[$i] != $a+$-[0];$i--) {}
      for ($i--; $i >= 0 && ($a[$i]>$a || $a[$i]==0); $i--) {}
      $argc=$a[$i++];
      print for unpack"(Z*)$argc",substr$c,$a[$i]-$a;' "$!"

基本上，它的作用与上面相同，但是一旦它找到了第一个字符串argv[]（或者至少一个argv[]或envp[]字符串，如果有空的话），它就知道它的地址，所以它在堆栈的顶部其余部分中向后查找具有相同值的指针。然后继续向后查找，直到找到一个不能作为指向这些数字的指针的数字，即argc。那么下一个整数是argv[0]。知道argv[0]和argc，它可以显示参数列表。

argv[]如果进程已写入其可能覆盖的某些 NUL 分隔符，或者如果argc为 0（argc通常至少为 1 来包含），则该方法不起作用，argv[0]但至少在一般情况下对于 ELF 可执行文件应该有效。

在4.2及更新版本中，/proc/<pid>/cmdline不再被截断，但ps本身具有128K的最大显示宽度。

Answer