execsnoop

作用

execsnoop通过ftrace实时监控进程的exec()行为，输出短时进程的信息，包括进程 PID、父进程 PID、命令行参数以及执行的结果。

安装execsnoop

git clone --depth 1 https://github.com/brendangregg/perf-tools

后台运行周期性chmod脚本

for((;;))
do
    chmod +x /root/test
    sleep 5
done

收集监控信息并分析

./perf-tools/bin/execsnoop >> output.log

在execsnoop的输出中，第1列是PID，第2列是PPID。

PPID有20234和26036。

根据进程号26036就找到了该脚本。