nmap이지만 pid용입니다. 🤓
아래에서 직접 기부하여 제가 독립 프로그래머가 될 수 있도록 도와주세요.
xpid는 사용자가 Linux 시스템에서 프로세스 세부 정보를 '조사'할 수 있는 기능을 제공합니다.
예를 들어, 대기 중인 스레드는 /proc/[pid] 디렉토리를 가지고 있지만, 이 디렉토리로 이동할 수는 있어도 목록을 볼 수는 없습니다.
xpid는 커널의 여러 위치에서 pid에 대한 세부 정보를 확인합니다.
가능한 pid의 하위 집합을 검색함으로써 xpid는 커널의 여러 위치에서 pid 세부 정보를 확인할 수 있습니다.
xpid [flags] -o [output] <query>
Investigate all pids
xpid
Investigate pid 1
xpid 1
Find all container processes on a system
xpid -c
Find all processes in the same namespace(s) as pid 1
xpid --ns-in [mnt, net, pid, ipc, cgroup]
Find all processes not in the same namespace(s) as current user
xpid --ns-out-user [mnt, net, pid, ipc, cgroup]
Find all processes running with eBPF programs as JSON
xpid --ebpf -o json <pid-query>
Find all processes running with eBPF programs, in a container, in /proc
xpid -b -c -p
Find all processes between specific values (Query syntax)
xpid <flags> +100 # Search pids up to 100
xpid <flags> 100-2000 # Search pids between 100-2000
xpid <flags> 65000+ # Search pids 65000 or above
Find all hidden processes on a system (slow)
xpid -x <pid-query>
xpid는 런타임에 컨테이너 프로세스를 조회합니다. 🎉
이는 /proc/[pid]/ns/@cgroup의 링크를 읽고 이를 /proc/1/[pid]/ns/@cgroup의 값과 상호 연관시켜 작동합니다.
pid 네임스페이스 컨텍스트에 관계없이 현재 pid 1과 다른 고유한 '컨테이너'가 있으면 xpid가 이를 찾습니다.
xpid는 런타임에 eBPF 프로그램이 로드된 pid를 찾습니다.
이는 /proc/[pid]/fdinfo/*의 파일 디스크립터 정보를 /sys/fs/bpf/progs.debug와 상호 연관시켜 작동합니다.
pid에 eBPF 프로그램이 로드되어 있으면 xpid가 찾습니다.
커널 모듈과 eBPF의 유연성 때문에 proc(5) 파일시스템이 전통적인 방식으로 pid 세부 정보를 나열하지 못하도록 방지할 수 있습니다.
xpid는 다양한 전술을 사용하여 pid를 검색합니다. 마치 nmap이 대상 포트 스캔에 다양한 전술을 사용하는 것과 같습니다.
xpid는 libxpid에 의존하는 Go 런타임 유틸리티입니다.
먼저 libxpid를 설치한 후(아래 참조) Go 런타임을 컴파일하세요.
git clone https://github.com/kris-nova/xpid.git
cd xpid
make
sudo make install
libxpid는 C로 작성되었으며, ptrace(2) 및 eBPF 코드를 직접 활용합니다.
이는 xpid 실행 파일이 완전히 정적으로 링크되지 않았음을 의미합니다.
xpid Go 프로그램을 실행하기 전에 먼저 시스템에 libxpid가 설치되어 있어야 합니다.
git clone https://github.com/kris-nova/xpid.git
cd xpid/libxpid
./configure
cd build
make
sudo make install