TrueTree

Informazioni
Leggi tutto sul concetto di TrueTree qui

TrueTree è più di un semplice comando pstree per macOS. Viene utilizzato per visualizzare un albero dei processi per i processi attualmente in esecuzione utilizzando una gerarchia basata su pid aggiuntivi che possono essere raccolti dal sistema operativo. L'albero dei processi standard su macOS che può essere costruito con i tradizionali pid e ppid è poco utile su macOS a causa di tutta la comunicazione XPC in gioco. La stragrande maggioranza dei processi finisce per avere come processo padre launchd. TrueTree, tuttavia, visualizza un albero dei processi pensato per essere utile a responder di incidenti, cacciatori di minacce, ricercatori e tutto ciò che sta in mezzo!

Aggiornamento importante: A causa delle caratteristiche in continua evoluzione di macOS, a partire da macOS 11 alcune funzionalità non funzionano più come quando ho scritto il post originale del blog per TrueTree. Apple ha introdotto l'aggiunta di un nuovo processo "runningboardd" che finisce per essere il vero genitore di molti processi. Per aggirare questo problema, TrueTree è stato aggiornato per utilizzare il framework Application Services, che ha permesso di acquisire il vero genitore in alcuni scenari. Tuttavia, ciò non consente più di acquisire un processo genitore reale se tale processo genitore è terminato. Rende difficile individuare alcuni veri genitori come il comando "open". Un piccolo prezzo da pagare per garantire che TrueTree continui a funzionare attraverso le versioni di macOS. Alcuni altri segni di un vero genitore possono spesso essere trovati all'interno dell'output di launchctl procinfo. Questo potrebbe essere preso in considerazione in futuro.

./TrueTree -h
--nocolor -> Non codificare a colori gli elementi nell'output --timeline -> Ordina e stampa tutti i processi in base al loro timestamp di creazione --timestamps -> Includi timestamp dei processi --standard -> Stampa l'albero Unix standard invece di TrueTree --sources -> Stampa la fonte da cui proviene il genitore di ogni processo --nonetwork -> Non stampare la connessione di rete --nopid -> Non stampare il pid accanto a ogni processo --nopath -> Stampa solo il nome del processo invece dei percorsi completi --version -> Stampa il numero di versione di TrueTree -o -> output su file

Nota: Richiede i permessi di root

./TrueTree
Visualizza un albero dei processi migliorato utilizzando il concetto di TrueTree

./TrueTree --standard
Per un output ad albero basato su pid e ppid standard usa --standard

./TrueTree --timestamps
Per output in entrambi i formati con data di creazione del processo aggiunta, usa l'opzione --timestamps

./TrueTree --sources
Per mostrare da dove è stato acquisito ogni pid genitore, usa l'opzione --sources

./TrueTree --timeline
Non raccoglie un albero. Stampa invece i processi ordinati per data di creazione