怎么在Linux利用Lsof-P查看被隐藏在非标准路径下的异常网络监听-linux运维-PHP中文网

lsof -P 仅禁用端口名解析，不用于检测隐藏监听；真正识别异常需结合 -iTCP -sTCP:LISTEN -n 定位监听进程，再通过 sudo lsof -d txt -p 或 readlink -f /proc//exe 查看二进制绝对路径，重点研判是否位于 /tmp、/dev/shm、/var/tmp 等非常规路径。

怎么在linux利用lsof-p查看被隐藏在非标准路径下的异常网络监听

注意：lsof -P 本身不用于“查看被隐藏的异常监听”，它只是禁用端口名解析（显示数字端口而非 service 名）。真正定位非标准路径下的异常监听，关键在于结合 -i、-n、-sTCP:LISTEN 等筛选逻辑，并辅以进程路径分析——因为“隐藏在非标准路径”指的是进程二进制文件不在 /usr/bin、/usr/sbin 等常规位置，而非常规监听端口（如 31337、4242）只是线索之一。

直接看监听进程及其可执行文件路径

运行这条命令能一次性获取所有 TCP LISTEN 进程 + 数字端口 + IP 地址 + PID + 命令名 + 实际启动路径：

sudo lsof -iTCP -sTCP:LISTEN -P -n -F pcL

但更实用、可读性更强的是：

sudo lsof -iTCP -sTCP:LISTEN -P -n | awk '{print $1,$2,$9,$NF}' | column -t

说明：

-iTCP -sTCP:LISTEN：只抓 TCP 监听态，排除 ESTABLISHED/UDP/连接中等干扰项
-P：端口显示为数字（如 8080 而非 http-alt）
-n：IP 显示为数字（如 0.0.0.0 而非 * 或主机名），避免 DNS 查询延迟和混淆
输出字段含 COMMAND（进程名）、PID、NODE（本地地址:端口）、NAME（部分含路径，但常被截断）

要真正看到完整可执行文件路径，必须加 -d txt 并配合 -p PID 查单个进程：

sudo lsof -d txt -p <pid> | grep -E '^(COMMAND|NAME)'</pid>

例如发现某进程监听 0.0.0.0:31337，PID 是 12345：

sudo lsof -d txt -p 12345

输出中 NAME 列即为该进程的二进制绝对路径（如 /tmp/.x/agent、/dev/shm/update.bin、/var/tmp/.cache/ld.so），这才是判断“是否藏在非标准路径”的核心依据。

快速筛查可疑路径的监听进程

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

可一步过滤出常见异常路径特征（如 /tmp、/dev/shm、/var/tmp、. 开头、无扩展名、无签名路径）：

sudo lsof -iTCP -sTCP:LISTEN -P -n -F p | xargs -I{} sh -c 'PID={}; echo "$PID $(sudo lsof -d txt -p $PID 2>/dev/null | tail -1 | awk "{print \$9}")"' | \
  grep -E '/(tmp|shm|cache|\.)/|^\S+\s+\S+[^/]*$|\.so$|\.bin$|\.elf$'

更稳妥的手动方式是：

先列出所有监听：

sudo lsof -iTCP -sTCP:LISTEN -P -n | grep -v "127.0.0.1\|::1" | sort -k9

关注 NODE 列不是 127.0.0.1:* 或 ::1:* 的行（即对外暴露）
对应 PID 查路径：sudo readlink -f /proc/<pid>/exe</pid>
检查路径是否异常：是否在 /tmp、/dev/shm、/var/tmp；是否带随机字符串；是否无写权限但有执行权限；是否属 root 但路径不可信

补充：为什么不能只靠 -P？
-P 只影响端口显示格式，不增强检测能力。真正的“隐藏”体现在：

进程路径非常规（如 /tmp/.X11-unix/.lock-...）
使用 ptrace 或 LD_PRELOAD 注入后监听（此时 lsof -d txt 显示原始进程，需结合 cat /proc/<pid>/maps</pid> 看内存映射）
容器或命名空间隔离导致 lsof 在宿主机看不到（需进容器执行）

所以，lsof -P 是基础配置项，不是检测手段本身。重点永远是：先定位监听进程 → 再确认其二进制来源路径 → 最后人工研判路径合理性。

H3 常见异常路径特征参考