Как узнать, кто (какой процесс) запускает другой процесс?

Question

Поэтому независимо от того, сколько раз я убиваю exim4, он сразу же возвращается к жизни. Я остановил службу, и все, кроме чего-то, возвращает ее к жизни и использует для рассылки спама.

Как мне найти, кто является виновником, другими словами, кто запускает exim-процесс?

$ ps -ef | grep exim
root      3038     1  0 14:48 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5Mf-0000mt-L7
107       3042  3038  0 14:48 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5Mf-0000mt-L7
root      5083     1  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5N0-0001Jr-88
107       5233  5083  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5N0-0001Jr-88
root      7420     1  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NR-0001vb-Km
107       7430  7420  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NR-0001vb-Km
root      7454     1  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NR-0001wA-Rl
107       7478  7454  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NR-0001wA-Rl
root      7518     1  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NS-0001xF-8C
107       7523  7518  0 14:49 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5NS-0001xF-8C
root      8863     1  0 14:50 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5Nm-0002Ir-93
107       8866  8863  0 14:50 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5Nm-0002Ir-93
root      8876     1  0 14:50 ?        00:00:00 /usr/sbin/exim4 -Mc 1YR5Nm-0002J5-Ee

Answer 1

Прямой ответ на ваш вопрос (но не вашу проблему) будет: ps -axjf . Это a и x чтобы увидеть "все" процессы (см. Man-страницу для более подробного объяснения этих параметров), j для формата заданий и f для причудливого дерева ASCII. Ppid (первый столбец) показывает идентификатор родительского процесса.

Более прямым подходом к проверке PPid определенного процесса будет проверка PPid в /proc/<processid>/status , например: grep PPid /proc/2774/status .

Теперь давайте сосредоточимся на вашей проблеме. Исходя из предоставленной вами информации, я предполагаю, что вы пытаетесь убить один из процессов доставки почты (в большинстве конфигураций exim порождает отдельный процесс для каждого сообщения, которое будет доставлено под пользователем root). Эти процессы используют опцию -Mc . Из руководства Exim:

-MC <транспорт> <имя хоста> <порядковый номер> <идентификатор сообщения>

Эта опция не предназначена для использования внешними абонентами. Он используется внутри Exim для вызова другого своего экземпляра для доставки ожидающего сообщения с использованием существующего SMTP-соединения, которое передается как стандартный ввод. Это должен быть последний вариант, и вызывающий должен быть пользователем root или пользователем exim, чтобы использовать его.

Существует процесс запуска очереди (часто встречается в ps, например: /usr/local/exim-in/bin/exim -bd -q 10m в пользовательской mail ; не root). Вероятно, это родительский процесс. Обратите внимание, что exim часто имеет более одного процесса запуска очереди. Чтобы проверить, что происходит - с точки зрения процесса - вы можете использовать команду ps упомянутую ранее.

Возможно, вы захотите проверить, какие сообщения стоят в очереди в вашей почтовой очереди (и почему).