Linux伊甸园论坛 » Shell编程 » 如何得到一个新增加的系统进程名

cugshomi 发表于 2006-4-19 16:35

如何得到一个新增加的系统进程名

我现在想写一个脚本，目的是实现对系统进程的时时监测，如果有新的进程产生，获得它的进程名。我的思路是用一个循环放在后台来监视系统进程数，如果进程数增加，表示有新的进程来了，然后获得它的进程名，以便完成我后面的程序输入。由于是实时的，所以基本不存在一个进程消失同时又有新的进程在同一时间产生的情况。我和其他人讨论过，有人建议把ps -aux出来的东西重定向到文本中，再进行比较。这样对系统的开销可能就比较大了，但是直接在内存中能够发现新来的进程的话，系统开销就很小了。对于新来的进程，我现在一直无法获得进程名，不知道有哪位朋友能够指点一下，谢谢！

cugshomi 发表于 2006-4-19 22:16

怎么没有人回答啊？是这个问题你们觉得太简单了还是难了？我和同事讨论过，这个问题应该还属于能值得一回答的吧？怎么就没人回复啊！

xlink 发表于 2006-4-19 22:32

你说的进程名是什么？是不是：
[code]PID T STAT TIME COMMAND
7904 co        R   0:00   ps -a[/code]
里的COMMAND这个字段？

cugshomi 发表于 2006-4-19 23:02

对，是comand字段，但是如何检测到有新进程生成并获取他的名称我就不知道该怎么实现了

ljsky 发表于 2006-4-19 23:10

哈哈，给我关心的问题正好相反，想监视结束进程，以及是谁结束这个进程。
怎样时实的监视？
请指点！！

锈迹斑斑 发表于 2006-4-20 15:23

/proc下所有以数字命名的目录都是存放进程资料的。目录名就是进程号，进程名可在其下的status文件里获取。

dearvoid 发表于 2006-4-20 15:34

这个主意不错的样子

cugshomi 发表于 2006-4-20 20:54

/proc下面的id很多，如果有新的进程产生，好象会产生一系列的子进程，变化比较大，不利于观察产生的核心进程。如果遍历/proc下面的id，会不会开销很大，我这个程序可是时时监控的。

dearvoid 发表于 2006-4-20 21:17

如果对效率要求较高的话，还是看看 ps 的 code 吧

xlink 发表于 2006-4-20 21:54

要得到command字段太容易了，你后面的问题我也处里不了。
[code]ps > ps.txt
awk '{print $8}' ps.txt     #$8就是字段了，你的也许是$7.6.5[/code]
得到的就是command字段。

要比较两个时点的ps要用到数组的概念，我没办法处理。

xlink 发表于 2006-4-20 21:57

上面写多了，一句：
ps|awk '{print $8}'

锈迹斑斑 发表于 2006-4-21 10:53

[QUOTE=cugshomi]/proc下面的id很多，如果有新的进程产生，好象会产生一系列的子进程，变化比较大，不利于观察产生的核心进程。如果遍历/proc下面的id，会不会开销很大，我这个程序可是时时监控的。[/QUOTE]

老夫的看法是，ls -t看最新的进程目录，跟先前的最新进程目录生成的时间对比，之后可知其是否新进程。
至于种种复杂的细节，暂时想不到那么多。不过何妨一试。
　　
　　

dearvoid 发表于 2006-4-21 11:24

小试一把 (Redhat 9.0):[code][color=blue]-(user@host:tty)-(bash)-
[29396 0] $ [/color]cat proc_monitor.sh
#! /bin/bash
# vi:set ts=8 sw=4 et sta:
#
# Author: dearvoid AT 263 DOT net
#
# $Date: 2006-04-21 11:23:15 +0800 (Fri, 21 Apr 2006) $
# $HeadURL: svn://jwang/repos/trunk/void/bash/proc_monitor.sh $
# $Revision: 93 $
#

old=/tmp/proc.old
new=/tmp/proc.new
rm -f $old $new

cd /proc || exit 1

while true; do
    ls -d1 [1-9]* > $new
    if [ -f $old ]; then
        found=0
        for pid in $(diff -u $old $new | grep -- '^[-+][1-9]'); do
            found=1
            printf "%-10s" "$pid"
            if [[ "$pid" == +* ]]; then
                { xargs -0 echo < /proc/${pid#?}/cmdline; } 2> /dev/null || echo "[N/A]"
            else
                echo
            fi
        done
        if [ $found -gt 0 ]; then
            echo "----------------------------------------"
        fi
    fi
    sleep 1
    mv -f $new $old
done

rm -f $old $new
[color=blue]-(user@host:tty)-(bash)-
[29396 0] $ [/color]./proc_monitor.sh
+4861     find /usr -name svn
----------------------------------------
-4861
----------------------------------------
+4936     find /usr -name ctags
----------------------------------------
-4936
----------------------------------------
+4993     sleep 120
----------------------------------------
-4993
----------------------------------------

[color=blue]-(user@host:tty)-(bash)-
[29396 130] $ [/color]
[/code]

cugshomi 发表于 2006-4-21 22:33

斑竹的代码我刚看到，不过还没有试过，对于发现新进程应该是可行的。不过我昨天试了一下，新开个控制台登陆系统，这时是login进程，会在/proc下产生3到4个pid。这对捕捉核心进程好象效果不好。搞的今天写了一个程序专门检测特定几个守护进程的程序，把守护进程的系统调用序列得到，最后实现缓冲区或者馅门攻击的检测。只不过系统调用的完全列表我还不知道从哪得到，unistd.h中只能包含大部分，不是所有。现在我也只能做针对某一种或者几种系统进程的入侵检测了。系统调用的完全列表斑竹知道从哪得到吗？包括socket、old_mmap、connect的网络系统调用的完全列表。

查看完整版本: 如何得到一个新增加的系统进程名