TrueTree

Acerca de
Lea todo sobre el concepto TrueTree aquí

TrueTree es más que un simple comando pstree para macOS. Se utiliza para mostrar un árbol de procesos de los procesos actualmente en ejecución, utilizando una jerarquía basada en pids adicionales que se pueden recolectar del sistema operativo. El árbol de procesos estándar en macOS que se puede construir con pids y ppids tradicionales es poco útil en macOS debido a toda la comunicación XPC involucrada. La gran mayoría de los procesos terminan teniendo un proceso padre de launchd. Sin embargo, TrueTree muestra un árbol de procesos diseñado para ser útil para respondedores de incidentes, cazadores de amenazas, investigadores y todo lo demás!

Actualización importante: Debido a las características siempre cambiantes de macOS, desde macOS 11 algunas funciones no operan igual que antes cuando escribí la publicación original del blog para TrueTree. Apple ha introducido la adición de un nuevo proceso "runningboardd" que termina siendo el verdadero padre de muchos procesos. Para solucionar esto, TrueTree se actualizó para usar el marco de trabajo Application Services, lo que permitió obtener el padre verdadero en algunos escenarios. Sin embargo, esto ya no permite obtener un proceso padre verdadero si ese proceso padre ha terminado. Dificultando la identificación de algunos padres verdaderos, como el comando "open". Un pequeño precio a pagar para asegurar que TrueTree continúe funcionando en las versiones de macOS. Algunas otras señales de un padre verdadero se pueden encontrar a menudo dentro de la salida de launchctl procinfo. Esto podría tenerse en cuenta en el futuro.

./TrueTree -h
--nocolor -> No codificar por color los elementos en la salida --timeline -> Ordenar e imprimir todos los procesos por su marca de tiempo de creación --timestamps -> Incluir marcas de tiempo de procesos --standard -> Imprimir el árbol Unix estándar en lugar de TrueTree --sources -> Imprimir la fuente de donde proviene cada proceso padre --nonetwork -> No imprimir la conexión de red --nopid -> No imprimir el pid junto a cada proceso --nopath -> Imprimir solo el nombre del proceso en lugar de rutas completas --version -> Imprimir el número de versión de TrueTree -o -> salida a archivo

Nota: Requiere permisos de root

./TrueTree
Muestra un árbol de procesos mejorado usando el concepto TrueTree

./TrueTree --standard
Para salida de árbol basada en pids y ppids estándar, use --standard

./TrueTree --timestamps
Para salida en cualquier formato con la hora de creación del proceso añadida, use la opción --timestamps

./TrueTree --sources
Para mostrar de dónde se obtuvo cada pid padre, use la opción --sources

./TrueTree --timeline
No recopila un árbol. Simplemente imprime los procesos ordenados por tiempo de creación