🛠️ 安全排查：进程程序🚨

#top

515 root 20 0 619864 59908 17000 S 5.3 3.0 5:43.78 mmon

• • 515 (PID)：進程的唯一識別 ID（Process ID）。
  • root (USER)：該進程是由系統最高權限管理員 root 帳號啟動的。
  • 20 (PR)：進程的優先級（Priority），20 是預設的標準優先級。
  • 0 (NI)：Nice 值，0 代表沒有人為調整過它的排程優先權。
  • 619864 (VIRT)：虛擬記憶體佔用（約 605 MB）。
  • 59908 (RES)：實際佔用的常駐實體記憶體（約 58 MB）。
  • 17000 (SHR)：與其他進程共享的記憶體大小（約 16 MB）。
  • S (STAT)：進程當前處於睡眠狀態（Sleeping），當有任務時會隨時喚醒。
  • 5.3 (%CPU)：當前瞬間佔用了這台伺服器 5.3% 的 CPU 資源。
  • 3.0 (%MEM)：實際佔用了這台伺服器 3.0% 的實體記憶體。
  • 5:43.78 (TIME+)：該進程自啟動以來，累計消耗了中央處理器（CPU）5 分 43.78 秒的時間。
  • mmon (COMMAND)：該進程的可執行檔案名稱。

1. 1. 安全與效能監控工具（最常見）：
      通常是一些輕量級的硬體效能、網路流量或系統安全的監控 Agent（例如 Micro-Monitor、硬體廠商的監控服務，或自訂的維護指令稿）。它正以 root 權限收集系統指標，這也解釋了為什麼它會有穩定的 CPU 與記憶體消耗。
   2. Oracle 數據庫進程（拼寫相近，需排除）：
      Oracle 數據庫有一個著名的記憶體監控背景進程叫 MMON，但它在 Linux 的系統進程名稱通常會帶有 Oracle 的實例標籤（例如 ora_mmon_xxxx），且通常執行於 oracle 用戶而非 root。 [1, 2, 3]
   3. 潛在的安全風險（需保持警惕）：
      有些挖礦木馬（Cryptominer）或惡意自動化指令稿會偽裝成類似 mmon、sysmon 這種看似「系統監控」的名稱，藏匿在 /tmp 或 /var/tmp 目錄下暗中消耗 CPU。 [1, 2]

• 檢查檔案實際路徑（看看它藏在哪裡）：
  ls -l /proc/515/exe
  

  如果是合法的工具，通常位於 /usr/bin/ 或 /usr/local/；如果在 /tmp/、/var/tmp/ 或某個隱藏目錄（如 /. 開頭）下，則極有可能是木馬。

• 檢查它是怎麼被啟動的（看完整的啟動參數）：
  cat /proc/515/cmdline
  

• 檢查它有沒有對外進行網路連線：
  sudo ss -pna | grep 515