**1. 干什么** 授权排查沿进程创建链与 /proc 证据逐项读取，核对父子关系、凭证、命令行、可执行路径与网络连接，识别异常常驻进程。 **2. 谁在调** * 用户态主体：排查人员运行的 ps、ss、readlink 命令。 * C 库封装层：读取 /proc/各文件的 open/read 与读取软链接的 readlink。 * 内核态主体：提供只读的进程与连接状态，不参与判断。 **3. 做什么业务** 第一步用`ps -ef f`查看父子树，正常服务由 systemd 派生 sshd，sshd 派生 bash。父进程为 php-fpm 或 nginx worker 的 bash 属异常。第二步核对 USER 列即进程真实 UID，低权限身份运行的进程以 root 出现需警惕。第三步读`/proc/<pid>/cmdline`，识别`python -c`拼接 base64、bash 携带 /dev/tcp 地址、perl 或 nc 外连陌生 IP 等特征。第四步查`/proc/<pid>/exe`软链接，指向已删除文件（deleted）为强特征。第五步把`/