幕雪

Linux查看后台进程：全面解析与实用技巧

什么是Linux后台进程？为什么要查看它们？

在Linux系统中，后台进程（Background Processes）是指那些在后台默默运行，不直接与用户交互的程序或服务。它们通常在启动系统时自动运行，或者由用户手动启动后进入后台执行。这些进程是Linux系统高效、稳定运行的基石，承担着从提供网络服务、管理系统资源到执行定时任务等各种关键职责。

为什么我们需要查看这些后台进程？ 对后台进程的监控和管理是Linux系统管理员和普通用户日常工作中不可或缺的一部分，主要出于以下几个核心原因：

  • 系统资源监控与优化： 了解哪些进程正在消耗CPU、内存、磁盘I/O等资源，有助于发现资源瓶颈，进行性能调优。例如，一个程序可能出现内存泄漏，不断占用更多内存，最终导致系统变慢或崩溃。
  • 故障排查： 当某个应用程序无响应、系统响应缓慢或出现异常行为时，查看后台进程可以帮助定位问题根源，例如找到卡死的进程、过度占用资源的进程或意外退出的服务。
  • 安全性审计： 识别系统中是否存在未知或可疑的进程，这可能是恶意软件、未经授权的服务或入侵行为的迹象。
  • 服务管理： 确认重要的服务（如Web服务器、数据库）是否正常运行，或者手动启动、停止、重启特定服务。
  • 任务管理： 对于用户启动的长时间运行任务（如数据备份、编译代码），确保它们在后台正确执行，并在需要时将其调回前台或终止。

简而言之，查看后台进程是深入理解系统当前状态、确保系统健康运行、及时发现并解决问题的必备技能。

在哪里可以查看后台进程？常用的命令有哪些？

在Linux终端中，有多种命令可以用于查看和管理后台进程。这些命令各有侧重，可以根据具体需求选择使用。

1. ps 命令：进程快照

ps（Process Status）命令用于显示当前系统中正在运行的进程的静态快照。它是最基础也是最常用的进程查看工具之一。

常用选项与用法：

  • ps aux： 显示所有用户的所有进程（包括没有控制终端的进程）。

    • a：显示所有进程（包括其他用户的进程）。
    • u：以用户（user-oriented）格式显示。
    • x：显示没有控制终端的进程。

    输出示例及解释：

    USER       PID %CPU %MEM    VSZ   RSS TTY      STAT START   TIME COMMAND
root         1  0.0  0.1 106032  6804 ?        Ss   Mar08   0:15 /sbin/init
root       567  0.0  0.0 223592  5960 ?        Ssl  Mar08   0:00 /usr/lib/systemd/systemd-journald
john     12345  0.5  2.3 876543 123456 pts/0    Sl+  10:30   0:45 python my_script.py
    • USER： 进程的所有者。
    • PID： 进程ID（Process ID），每个进程的唯一标识符。
    • %CPU： 进程占用的CPU百分比。
    • %MEM： 进程占用的物理内存百分比。
    • VSZ： 虚拟内存大小（Virtual Size），进程使用的虚拟内存总量，以KB为单位。
    • RSS： 物理内存大小（Resident Set Size），进程实际占用的物理内存大小，以KB为单位。
    • TTY： 进程所依附的终端（Teletype），? 表示没有控制终端。
    • STAT： 进程状态（Status），一个单字母或多字母缩写，描述进程的当前状态（如R: 运行, S: 睡眠, Z: 僵尸, T: 停止）。
    • START： 进程启动时间。
    • TIME： 进程总的CPU运行时间。
    • COMMAND： 进程启动的命令及参数。
  • ps -ef： 以完整格式显示所有进程。

    • e：显示所有进程。
    • f：以完整格式（full-format）显示。

    此选项会显示进程的父进程ID（PPID），对于理解进程间的父子关系非常有帮助。

    UID        PID  PPID  C STIME TTY          TIME CMD
root         1     0  0 Mar08 ?        00:00:15 /sbin/init
root       567     1  0 Mar08 ?        00:00:00 /usr/lib/systemd/systemd-journald
john     12345  1234  0 10:30 pts/0    00:00:45 python my_script.py
    • UID： 用户ID。
    • PPID： 父进程ID（Parent Process ID），启动当前进程的进程ID。
    • C： CPU利用率的粗略估计（旧版ps中可能显示为PRI或NI）。
    • STIME： 启动时间。
    • 其他同上。
  • ps -T： 显示所有线程（Thread）。在多线程应用中，一个进程可能包含多个线程。

    ps -T -p <PID> 可以显示特定进程的所有线程。

  • 结合grep进行过滤： 要查找特定名称或用户相关的进程，通常会将ps的输出通过管道传递给grep命令。

    ps aux | grep nginx      # 查找所有包含"nginx"的进程
ps -ef | grep firefox    # 查找所有firefox进程，并显示其父进程
ps aux | grep ^root      # 查找所有root用户拥有的进程

2. top 命令：实时动态监控

top 命令提供了一个实时、动态的进程列表，并根据CPU使用率等指标进行排序。它非常适合持续监控系统资源和发现“资源大户”。

主要界面区域：

  • 顶部概览区： 显示系统总览信息。
    • 第一行：系统当前时间、运行时间、登录用户数、平均负载（load average）。
    • 第二行：任务（Tasks）总数、运行中、睡眠、停止、僵尸进程数。
    • 第三行：CPU状态（us: 用户空间, sy: 内核空间, ni: 优先级调整过的用户进程, id: 空闲, wa: 等待I/O, hi: 硬中断, si: 软中断, st: 虚拟机偷取时间）。
    • 第四、五行：内存（Mem）和交换区（Swap）的总量、已用、空闲、缓存/缓冲大小。
  • 进程列表区： 显示各个进程的详细信息。
    • PID： 进程ID。
    • USER： 进程所有者。
    • PR： 优先级（Priority）。
    • NI： 谦让度（Nice value），负值表示高优先级，正值表示低优先级。
    • VIRT： 进程使用的虚拟内存总量（KB）。
    • RES： 进程使用的物理内存总量（KB）。
    • SHR： 共享内存大小（KB）。
    • S： 进程状态（同ps的STAT）。
    • %CPU： 进程占用CPU百分比（实时）。
    • %MEM： 进程占用物理内存百分比（实时）。
    • TIME+： 进程总CPU运行时间（精确到百分之一秒）。
    • COMMAND： 进程启动命令。

top交互式命令：

  • k：终止（kill）进程，按PID。
  • r：重新设置进程的谦让度（renice）。
  • P：按CPU使用率排序（默认）。
  • M：按内存使用率排序。
  • T：按总CPU时间排序。
  • 1：显示每个CPU核心的使用情况。
  • q：退出top。

3. htop 命令：增强型实时监控

htop 是一个交互式进程查看器，比top更具用户友好性，提供了更直观的彩色界面、垂直和水平滚动功能，以及通过鼠标操作管理进程的能力。

如果系统未安装htop，通常可以使用包管理器安装，如：
sudo apt install htop (Debian/Ubuntu)
sudo yum install htop (CentOS/RHEL)

htop的优势：

  • 彩色显示，易于阅读。
  • 支持鼠标操作，方便选择进程和执行操作。
  • 可以直接滚动查看所有进程，无需按页。
  • 可视化CPU、内存、交换区的使用图表。
  • 快捷键更方便，如F9直接杀死进程。

4. jobs 命令：Shell任务管理

jobs 命令用于查看当前Shell会话中处于后台或停止状态的任务（jobs）。这通常是指由用户在当前终端启动，并通过Ctrl+Z（停止）或&（后台运行）操作的任务。

常用用法：

  • jobs：列出所有当前Shell会话中的任务。
  • jobs -l：显示任务的PID。
  • fg %N：将任务号为N的后台任务调到前台（Foreground）。
  • bg %N：将任务号为N的停止任务调到后台运行（Background）。

注意： jobs命令仅显示当前Shell会话所拥有的后台任务，对于由系统服务管理器（如systemd）启动的、或在其他终端会话中启动的进程，jobs无法显示。

5. pgrep 和 pkill：按名称查找与终止

pgrep 根据进程名称或其他属性查找进程ID，而pkill则直接根据这些属性终止进程。

  • pgrep <pattern>：

    查找匹配模式的进程ID。常用于脚本中获取特定进程的PID。

    pgrep sshd         # 查找sshd进程的PID
pgrep -l firefox   # 列出firefox进程的PID和名称
pgrep -u john      # 查找用户john的所有进程的PID
pgrep -f "python my_script.py" # 查找包含完整命令行参数的进程
  • pkill <pattern>：

    终止匹配模式的进程。比先用pgrep再用kill更便捷。

    pkill firefox      # 终止所有firefox进程
pkill -9 -u john   # 强制终止用户john的所有进程

6. lsof 命令：列出打开的文件

lsof（List Open Files）是一个功能强大的命令，可以列出当前系统打开的所有文件以及打开它们的所有进程。由于在Linux中“一切皆文件”，这包括普通文件、目录、网络套接字、设备文件等。lsof对于查找哪个进程占用了特定端口或文件非常有用。

常用用法：

  • lsof -i :<port_number>：查找占用特定端口的进程。
    lsof -i :80        # 查找占用80端口的进程（通常是Web服务器）
  • lsof -u <username>：列出指定用户打开的所有文件。
  • lsof -p <PID>：列出指定进程打开的所有文件。
  • lsof /path/to/file：查找哪个进程正在使用某个文件或目录。

7. systemctl 命令：管理系统服务（systemd）

对于由systemd系统和服务管理器控制的后台服务，systemctl是主要的管理工具。

  • systemctl status <service_name>：查看特定服务的状态（是否运行、PID、内存占用等）。
    systemctl status nginx     # 查看Nginx服务的运行状态
  • systemctl list-units --type=service --all：列出所有已加载的服务单元及其状态。

进程有多少种状态？如何理解STAT列？

在ps和top命令的输出中，STAT（或S）列显示了进程的当前状态，这是一个非常重要的信息，有助于理解进程的活动情况。以下是常见的进程状态码及其含义：

  • R (Running): 进程正在CPU上执行，或者在可运行队列中等待被调度执行。
  • S (Sleeping): 进程正在等待某个事件的发生（如等待I/O完成、等待信号、等待资源）。这是最常见的进程状态，大多数后台进程都处于睡眠状态，直到它们需要执行任务。
  • D (Disk Sleep/Uninterruptible Sleep): 进程正在进行I/O操作，而且该操作是不可中断的。这意味着进程不能被信号中断（包括kill -9），通常发生在进程等待磁盘I/O完成时。这种状态下的进程如果长时间不消失，可能表明磁盘或文件系统存在问题。
  • Z (Zombie): 僵尸进程。一个子进程已经完成执行，但其父进程还没有调用wait()或waitpid()来获取其终止状态。僵尸进程本身不占用CPU或内存，但会占用PID，如果大量僵尸进程存在，可能导致PID资源耗尽。
  • T (Stopped): 进程被停止（暂停），可能是通过发送SIGSTOP信号或Ctrl+Z（交互式终端中）。进程可以在以后被重新启动（通过SIGCONT信号）。
  • X (Dead): 进程已经死亡，但通常不会在进程列表中看到，因为它们很快就会被移除。

附加状态修饰符：

  • < (High-priority): 进程拥有更高的优先级。
  • N (Low-priority): 进程拥有更低的优先级（通过nice值调整）。
  • L (Locked in memory): 进程的部分或全部内存被锁定在内存中，不能被换出。
  • s (Session leader): 进程是会话的领导者。
  • + (Foreground process group): 进程是前台进程组的一部分，通常意味着它直接与用户终端交互。
  • l (Multi-threaded): 进程是多线程的。

例如，Ss+表示一个睡眠状态的进程，它是会话领导者，并且是前台进程组的一部分。

如何根据CPU、内存、PID等条件精确筛选和管理进程？

精确筛选和管理进程是日常维护的关键。除了上面提到的grep过滤，还有一些技巧。

1. 查找高CPU/内存占用的进程：

使用top或htop是最直观的方式，因为它们默认按CPU或内存排序。

  • top： 启动后按P键按CPU排序，按M键按内存排序。
  • ps aux --sort=-%cpu | head -n 10： 显示CPU占用最高的10个进程。

    ps aux --sort=-%mem | head -n 10：显示内存占用最高的10个进程。
  • pidstat（来自sysstat包）： 提供更详细的进程资源使用历史数据。

    pidstat 1：每秒显示所有进程的CPU、内存、I/O使用情况。

    pidstat -p <PID> 1：仅显示特定进程的。

2. 根据用户查找进程：

  • ps -u <username>：显示特定用户拥有的所有进程。
  • pgrep -u <username>：查找特定用户的所有进程ID。

3. 根据进程名或命令行查找：

  • ps aux | grep -i <process_name>：忽略大小写查找。
  • pgrep -l -f <full_command_line>：使用-f匹配完整命令行。

4. 如何终止（杀死）进程？

终止进程是管理后台任务的重要部分，但需要谨慎操作，避免误杀关键系统进程。

  • kill <PID>： 发送默认信号（SIGTERM，15号信号），请求进程优雅地退出。进程有机会清理资源后再结束。
  • kill -9 <PID>： 发送强制终止信号（SIGKILL，9号信号）。进程无法捕获或忽略此信号，会被立即终止，不进行任何清理。用于终止无响应或僵尸进程，但应谨慎使用。
  • killall <process_name>： 按进程名称终止所有匹配的进程。

    killall firefox     # 终止所有名为firefox的进程
killall -9 nginx    # 强制终止所有Nginx进程
  • pkill <pattern>： 同killall，但支持更复杂的模式匹配。

警告： 终止系统关键进程（如init、systemd、sshd等）可能导致系统不稳定或无法远程登录。在执行kill命令前，务必确认PID和进程名称。

5. 如何将程序置于后台运行和调回前台？

对于在当前终端会话中启动的程序：

  • &： 在命令末尾加上&符号，将程序在启动时直接放入后台运行。

    ./my_long_running_script.sh &

    执行后，Shell会立即返回命令提示符，并显示后台任务的[job_number] PID。

  • Ctrl+Z： 正在前台运行的程序，按Ctrl+Z会将其暂停（停止）并放入后台。
  • bg %N： 将停止的后台任务（任务号为N）继续在后台运行。

    bg：将最近一个停止的后台任务继续在后台运行。
  • fg %N： 将后台任务（任务号为N）调回前台继续运行。

    fg：将最近一个后台任务调回前台运行。
  • nohup <command> &：

    使用nohup命令启动的程序，即使终端关闭或退出，进程也不会收到SIGHUP信号而终止，会继续在后台运行。其输出通常会被重定向到当前目录下的nohup.out文件。 

    nohup ./my_service_daemon.py > service.log 2&1 &

    这将启动一个Python服务脚本，其所有输出（标准输出和标准错误）都重定向到service.log文件，并且在后台运行。

多少进程是正常的？如何判断异常进程？

一个Linux系统上运行的进程数量因系统用途、配置和安装的软件而异，没有一个固定的“正常”数字。

  • 桌面系统： 通常会有几百个进程（例如200-500个），包括桌面环境、浏览器、即时通讯工具等。
  • 服务器系统： 可能会少一些，专注于提供特定服务。例如，一个Web服务器可能只有几十到一百多个进程（Web服务器、数据库、缓存等）。
  • 最小化安装： 最小化安装的Linux系统可能只有几十个基本系统进程。

如何判断异常进程：

  1. 未知进程名： 看到从未见过的进程名，特别是那些看起来是随机字符组合的名称。
  2. 高资源占用： 某个进程持续占用大量CPU（如90%以上）或内存（如几十GB甚至更多），但其功能并不需要如此多的资源。
  3. 异常用户： 进程由非预期的用户（如nobody、apache等用户执行了不属于Web服务的工作）或不应该存在的用户启动。
  4. 异常启动时间： 进程在不寻常的时间启动，例如系统刚启动或夜深人静时。
  5. 异常连接： 使用lsof -i或netstat -tulnp发现进程在监听或连接非标准端口，或连接到不熟悉的IP地址。

  6. 僵尸进程过多： 少量僵尸进程是正常的，但如果出现大量（例如几十个或几百个）僵尸进程，可能表明某个父进程编写不当或存在问题。
  7. 名称与路径不符： 进程名称是ssh或systemd，但其COMMAND路径却在奇怪的目录下，或参数异常。

在怀疑某个进程异常时，可以通过其PID使用ls -l /proc/<PID>/exe查看其可执行文件的实际路径，或者使用strings /proc/<PID>/exe查看其包含的字符串信息，以进一步确认。

总结

对Linux后台进程的查看和管理是系统管理者的基本功。通过熟练运用ps、top、htop、jobs、pgrep、pkill、lsof和systemctl等命令，您可以全面了解系统的运行状态，及时发现并解决性能瓶颈、应用程序故障和潜在的安全风险。深入理解每个命令的输出信息，特别是进程的状态（STAT）、资源占用（%CPU, %MEM, VSZ, RSS）以及父子进程关系（PPID），将使您能够更有效地诊断和维护Linux系统，确保其稳定高效运行。

linux查看后台进程