Linux系统日志文件通常位于/var/log目录下。 要排查异常进程，您可以检查以下日志并结合命令行工具：
关键日志文件:
-
/var/log/messages(或/var/log/syslog): 系统通用日志，记录系统启动后各种事件。使用grep命令查找异常，例如：grep "error" /var/log/messages。/var/log/syslog与/var/log/messages功能类似，但可能包含更详细的记录。 -
/var/log/auth.log: 记录身份验证相关事件，例如用户登录和SSH连接。 检查此文件可帮助发现未授权访问尝试。 -
/var/log/kern.log: 记录内核相关日志信息。异常进程可能导致内核错误，因此需要检查此文件。 -
/var/log/dmesg: 包含自系统启动以来的内核缓冲区消息。可以使用dmesg命令查看，或用grep命令搜索特定信息。
命令行工具:
除了检查日志，以下命令可帮助识别异常进程：
-
top或htop: 实时显示系统进程及其资源使用情况。 观察CPU和内存使用情况，可发现异常高资源消耗的进程。htop提供更友好的用户界面。 -
ps aux: 列出所有进程及其详细信息，便于筛选异常进程。 -
pidof: 根据进程名称查找进程ID，例如：pidof nginx。 -
lsof: 列出进程打开的文件和网络连接，帮助发现异常进程访问的敏感文件或网络资源。 -
netstat: 显示网络连接、路由表和网络接口信息，用于发现异常网络通信。
通过结合以上日志文件和命令行工具，您可以有效地识别和分析Linux系统中的异常进程。 记住，要根据具体情况选择合适的日志文件和命令进行排查。
