Linux中无法单靠ps或top判断恶意隐藏进程，需交叉验证/proc目录与进程列表、内核任务链表、网络连接、内核模块及eBPF程序等多源数据以发现异常。

Linux 中无法单靠 ps 或 top 判断是否存在恶意隐藏进程，因为这些工具本身可能已被劫持。关键在于交叉验证多个独立数据源，避开用户态干扰，直击内核真实状态。

比对 /proc 目录与进程列表是否一致

/proc 是内核提供的虚拟文件系统，每个运行进程应对应一个数字子目录。但 rootkit 常 hook getdents64 等系统调用，让 ls /proc 跳过特定 PID。需绕过 libc 依赖：

• 用 find /proc -maxdepth 1 -name '[0-9]*' -type d | wc -l 统计真实可见 PID 数量
• 执行 ps aux | wc -l 获取命令显示的进程数，两者明显不匹配（如 /proc 多出几十个目录）即存疑
• 对异常大数字 PID（如 99999），尝试 cat /proc/99999/status：返回 Permission denied 或静默失败，而非明确的 No such process，高度可疑

绕过用户态工具，检查内核真实任务链表

所有进程在内核中以双向链表挂载在 init_task 下，该结构不受用户态 hook 影响：

linux-performance-analyzer

Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。

下载

• 若有内存转储（core dump）和对应 vmlinux，用 crash 工具执行 ps -G，它遍历原始 task_struct 链表，可暴露 ps 漏掉的进程
• 无 dump 时，可用 systemtap 脚本遍历 init_task.tasks（需调试符号），输出 PID 列表后与 ps 结果比对
• 启用 debugfs 后查看 /sys/kernel/debug/sched_debug，其中 rq 队列列出所有就绪/运行态任务，人工检索是否有无主 PID

抓取异常系统行为线索

即使进程名被隐藏，其资源使用仍会留下痕迹：

• 运行 ss -tunlp，若发现监听端口但 PID 列显示 - 或空白，极可能被隐藏；再用 lsof -i :PORT 反查，同样无结果则风险极高
• 检查 /proc/net/packet，非 root 用户创建的 PACKET_RX_RING socket，结合 lsof -i 缺失条目，提示隐蔽网络后门
• 用 auditctl 审计敏感调用：auditctl -a always,exit -F arch=b64 -S execve,connect，再查 ausearch -m execve -i 是否存在无父进程的执行记录

核查内核模块与加载机制

绝大多数隐藏技术依赖恶意内核模块（LKM）或 eBPF 程序：

• 执行 lsmod，重点关注名称可疑（如 hide、knark、adore）、无签名、或不在官方 kernel tree 中的模块
• 检查 /lib/modules/$(uname -r)/extra/ 和 updates/ 目录下是否有非标准模块文件
• 运行 sysctl kernel.modules_disabled，若值为 0 表示模块可动态加载；再用 dmesg | tail -50 查最近是否有异常模块插入日志
• 执行 bpftool prog list 和 bpftool map list，识别非系统路径加载的 eBPF 程序