TrueTree

À propos
Pour tout savoir sur le concept TrueTree, consultez cette page

TrueTree est bien plus qu'une simple commande pstree pour macOS. Il sert à afficher une arborescence de processus pour les processus en cours d'exécution, en utilisant une hiérarchie construite sur des pids supplémentaires qui peuvent être collectés auprès du système d'exploitation. L'arborescence de processus standard sur macOS, qui peut être construite avec les pids et ppids traditionnels, est peu utile sur macOS en raison de toute la communication XPC en jeu. La grande majorité des processus finissent par avoir launchd comme processus parent. TrueTree, en revanche, affiche une arborescence de processus destinée à être utile aux intervenants en cas d'incident, aux chasseurs de menaces, aux chercheurs, et à tout ce qui se trouve entre les deux !

Mise à jour majeure : En raison de l'évolution constante des fonctionnalités de macOS, depuis macOS 11, certaines fonctionnalités ne fonctionnent plus tout à fait comme avant lorsque j'ai écrit l'article de blog original sur TrueTree. Apple a introduit l'ajout d'un nouveau processus « runningboardd » qui finit par être le véritable parent de nombreux processus. Pour contourner cela, TrueTree a été mis à jour afin d'utiliser le framework Application Services, ce qui a permis d'obtenir le véritable parent dans certains scénarios. Cependant, cela ne permet plus d'obtenir le véritable processus parent si ce processus parent s'est terminé. Il devient donc difficile d'identifier certains véritables parents comme la commande « open ». Un petit prix à payer pour garantir que TrueTree continue de fonctionner à travers les versions de macOS. D'autres indices d'un véritable parent peuvent souvent être trouvés dans la sortie de launchctl procinfo. Cela pourrait être pris en compte à l'avenir.

Nouveau dans TrueTree 0.9 : Root n'est plus nécessaire pour exécuter TrueTree. Sans root, les pids responsables sont estimés à partir des coalitions de processus, et les connexions réseau sont limitées à vos propres processus. Une coalition est un groupe de processus liés que le noyau macOS suit ensemble, comme une application et les helpers et services XPC qu'elle lance.

Lorsqu'il est exécuté en tant que root, TrueTree utilise la méthode libquarantine d'origine, qui est la plus fiable. Pour utiliser plutôt la méthode des coalitions en tant que root, passez  --acquire-responsible-via-coalition .

De nouveaux tests ont également été ajoutés, notamment des tests de coalitions qui protègent contre une modification discrète par macOS d'une interface privée du noyau dont dépend TrueTree.

./TrueTree -h
--nocolor -> Ne pas appliquer de code couleur aux éléments de la sortie --timeline -> Trier et afficher tous les processus par leur horodatage de création --timestamps -> Inclure les horodatages des processus --standard -> Afficher l'arborescence Unix standard au lieu de TrueTree --sources -> Afficher la source d'où provient le parent de chaque processus --nonetwork -> Ne pas afficher les connexions réseau --nopid -> Ne pas afficher le pid à côté de chaque processus --nopath -> Afficher uniquement le nom du processus au lieu des chemins complets --json -> Produire du JSON au lieu du texte (fonctionne avec --standard, --timeline et -o) --version -> Afficher le numéro de version de TrueTree --acquire-responsible-via-coalition Estimer les pids responsables à partir des coalitions de processus au lieu de libquarantine. Les coalitions sont toujours utilisées lorsque l'on n'est pas root. -o -> écrire dans un fichier

./TrueTree
Affiche une arborescence de processus enrichie selon le concept TrueTree

./TrueTree --standard
Pour une sortie en arborescence basée sur les pids et ppids standard, utilisez --standard

./TrueTree --timestamps
Pour une sortie dans l'un ou l'autre format avec l'heure de création des processus ajoutée, utilisez l'option --timestamps

./TrueTree --sources
Pour afficher la provenance de chaque pid parent, utilisez l'option --sources

./TrueTree --timeline
Ne collecte pas d'arborescence. Affiche simplement les processus triés par heure de création