Wurde ein Prozeß nicht mit absolutem Pfad gestartet, dann ist es überraschend schwierig den absoluten Pfad für das zugehörige Executable herauszufinden.
Wir demonstrieren dies am Beispiel von Splunk:
$ ps -ef |grep splun[k]d root 7143802 5702116 0 Apr 23 - 23:26 splunkd --nodaemon -p 8089 _internal_exec_splunkd root 31916484 7143802 0 Apr 23 - 0:00 [splunkd pid=7143802] splunkd --nodaemon -p 8089 _internal_exec_splunkd [process-runner] $
Beim Start des Prozesses mit der PID 31916484 wurde zusätzlich das Argument 0 abgeändert.
Ein Teil der Informationen zu einem Prozeß sind über das Prozeß-Dateisystem /proc verfügbar. Da Splunk unter der Kennung von root läuft, sind root-Rechte notwendig, um auf die Informationen unter /proc zum Prozeß zuzugreifen.
Unterhalb von /proc gibt es für jeden aktiven Prozeß ein Unterverzeichnis mit der PID als Verzeichnisname.
# ls -l /proc/31916484 total 32 -rw------- 1 root system 0 Apr 28 15:17 as -r-------- 1 root system 128 Apr 28 15:17 cred --w------- 1 root system 0 Apr 28 15:17 ctl lr-x------ 38 root system 0 Apr 28 13:31 cwd -> /root/ dr-x------ 1 root system 0 Apr 28 15:17 fd dr-xr-xr-x 1 root system 0 Apr 28 15:17 lwp -r-------- 1 root system 0 Apr 28 15:17 map -r-------- 1 root system 0 Apr 28 15:17 mmap dr-x------ 1 root system 0 Apr 28 15:17 object -r--r--r-- 1 root system 448 Apr 28 15:17 psinfo lr-x------ 48 root system 0 Apr 28 09:02 root -> / -r-------- 1 root system 12288 Apr 28 15:17 sigact -r-------- 1 root system 1520 Apr 28 15:17 status -r--r--r-- 1 root system 0 Apr 28 15:17 sysent #
Im Unterverzeichnis object ist neben den geöffneten Dateien auch das Executable verfügbar:
# ls -l /proc/31916484/object total 854216 -r-xr-xr-x 1 root system 194980846 Nov 16 2019 a.out -r-xr-xr-x 1 bin bin 10749 Sep 21 2015 jfs2.10.5.103039 -r--r--r-- 1 bin bin 12858422 May 28 2019 jfs2.10.5.225767 -r-xr-xr-x 1 bin bin 77411 Mar 25 2021 jfs2.10.5.4157 -r-xr-xr-x 1 bin bin 13438344 Jul 27 2021 jfs2.10.5.4205 -r--r--r-- 1 bin bin 1351386 Mar 09 2021 jfs2.10.5.4209 -r--r--r-- 1 bin bin 80450 Jul 27 2021 jfs2.10.5.4220 -r-xr-xr-x 1 root system 194980846 Nov 16 2019 jfs2.10.9.139342 -r-xr-xr-x 1 root system 3487967 Nov 12 2019 jfs2.10.9.155672 -r-xr-xr-x 1 root system 228087 Nov 12 2019 jfs2.10.9.155673 -r-xr-xr-x 1 root system 2688333 Nov 16 2019 jfs2.10.9.155675 -r-xr-xr-x 1 root system 901800 Nov 12 2019 jfs2.10.9.155677 -r-xr-xr-x 1 root system 4256593 Nov 12 2019 jfs2.10.9.155679 -r-xr-xr-x 1 root system 568791 Nov 16 2019 jfs2.10.9.155684 -r-xr-xr-x 1 root system 6166802 Nov 12 2019 jfs2.10.9.155685 -r-xr-xr-x 1 root system 1239656 Nov 12 2019 jfs2.10.9.155686 -r-xr-xr-x 1 root system 124218 Nov 16 2019 jfs2.10.9.155690 #
Die Datei a.out repräsentiert dabei das Executable. Ein Zugriff auf diese Datei wird auf die Datei des Executables umgeleitet. Mit dem Kommando istat lassen sich Informationen wie Inode-Nummer und Gerät (Dateisystem) des Executables heraufinden:
# istat /proc/31916484/object/a.out Inode 139342 on device 10/9 File Protection: r-xr-xr-x Owner: 0(root) Group: 0(system) Link count: 1 Length 194980846 bytes Last updated: Tue Jul 27 07:15:40 CEST 2021 Last modified: Sat Nov 16 01:23:05 CET 2019 Last accessed: Thu Apr 28 10:38:13 CEST 2022 #
Die Inode-Nummer des Executables ist 139342. Das Dateisystem ist das Dateisystem auf dem Gerät mit der Major-Nummer 10 und der Minor-Nummer 9 („device 10/9“).
Man könnte nun erst einmal das Gerät durch eine Suche unter /dev herausfinden:
$ ls -l /dev | grep "10, 9" brw-rw---- 1 root system 10, 9 Jul 27 2021 hd10opt crw-rw---- 1 root system 10, 9 Apr 05 13:36 rhd10opt $
und dann das zugehörige Dateisystem über df ermitteln:
$ df | grep hd10opt /dev/hd10opt 12582912 7527920 41% 33349 4% /opt $
Allerdings geht dies noch einfacher. Man kann einfach den Pfad für die a.out Datei bei df angeben:
# df /proc/31916484/object/a.out Filesystem 512-blocks Free %Used Iused %Iused Mounted on /dev/hd10opt 12582912 7527912 41% 33349 4% /opt #
Das gesucht Dateisystem ist das /opt-Dateisystem. Nun kann man mit einer Suche nach der Inode-Nummer 139342 in /opt den absoluten Pfad zum Executable herausfinden:
# find /opt -inum 139342 /opt/splunkforwarder/bin/splunkd #
Der Prozeß mit der PID 31916484 führt also das Executable /opt/splunkforwarder/bin/splunkd aus.
Mit einem kleinen Trick kann man die Suche auch deutlich abkürzen. Dazu benötigt man eine Shell als Benutzer root. In dieser Shell öffnet man die a.out explizit mittels exec und einer (freien) Descriptor-Nummer:
# exec 5</proc/31916484/object/a.out #
Unsere aktuelle Shell hat damit das Executable geöffnet (über den Filedescriptor 5)! Nun lässt man sich mit dem Kommando procfiles die offenen Dateien dieser Shell anzeigen. Dabei benutzt man die Option „-n“, welche die absoluten Pfade von Dateien anzeigt, die zu einem Filedescriptor gehören:
# procfiles -n $$ 19136808 : ksh Current rlimit: 10000 file descriptors 0: S_IFCHR mode:00 dev:10,4 ino:4463 uid:0 gid:0 rdev:21,3 O_RDWR | O_NOCTTY name://dev/pts/3 1: S_IFCHR mode:00 dev:10,4 ino:4463 uid:0 gid:0 rdev:21,3 O_RDWR | O_NOCTTY name://dev/pts/3 2: S_IFCHR mode:00 dev:10,4 ino:4463 uid:0 gid:0 rdev:21,3 O_RDWR | O_NOCTTY name://dev/pts/3 5: S_IFREG mode:0555 dev:10,9 ino:139342 uid:0 gid:0 rdev:0,0 O_RDONLY size:194980846 name:/opt/splunkforwarder/bin/splunkd 10: S_IFREG mode:0444 dev:10,5 ino:124151 uid:0 gid:0 rdev:0,0 O_RDONLY size:5875 name:/usr/lib/nls/msg/EN_US/ksh.cat 63: S_IFREG mode:0600 dev:10,4 ino:41933 uid:0 gid:0 rdev:0,0 O_RDWR | O_APPEND size:5494 name://root/.sh_history #
Hinweis: Die spezielle Variable $$ wird von der Shell durch die PID der Shell ersetzt.
Für den Filedescriptor 5 wird der absolute Pfad /opt/splunkforwarder/bin/splunkd angezeigt.
Anschließend sollte man den Filedescriptor wieder schließen:
# exec 5<&- #