找出哪个 PHP 脚本启动了 Apache2 进程

Question

我想知道您如何找出哪些 php 脚本正在启动 apache2 进程，从而导致高负载。

似乎有一个用户感染了恶意软件 (php-shell)。LMD (maldet/maldetect) 找不到该文件，但存在不时导致高 CPU 负载的 php 进程。

现在我想知道哪个文件启动了 apache2 进程。

使用 strace 我无法获取文件名或路径。

有任何想法吗？

Answer 1

也许你会找到一些线索：

lsof | grep <PID>

（插入可疑进程的 PID 而不是 ）

这将向您显示该进程已打开的文件/套接字。

Answer 2

您可能看不到想要的输出，因为 strace 默认不遵循 children/forks，请尝试使用strace -f -p $PID -e trace=open,close来过滤open()并close()调用任何子进程或线程$PID（听起来像 php-shell）。这里有一个方便的strace 备忘单我喜欢用。