我注意到，一个系统用户不断地通过FTP服务器下载一个JPEG文件（每隔几秒）。 源IP实际上分配给服务器本身。 我试过使用像lsof，ps，top这样的工具。 我也检查了没有运气的cron作业。 你能告诉我如何追踪这个过程的来源，脚本？ 请注意，这台服务器正在运行cPanel。
我可以使用strace，但是这个过程的运行时间不够长。
# tail /var/log/xferlog Wed Jan 23 14:21:26 2013 0 xxx.xxx.xxx.xxx 14558 /path_to_dir/file.jpg b _ or user ftp 1 * c Wed Jan 23 14:21:26 2013 0 xxx.xxx.xxx.xxx 14558 /path_to_dir/file.jpg b _ or user ftp 1 * c Wed Jan 23 14:21:27 2013 0 xxx.xxx.xxx.xxx 14558 /path_to_dir/file.jpg b _ or user ftp 1 * c 您可以暂时用一个更大的文件或FIFO来replace该文件（请参阅mkfifo命令），然后再次查找该过程。
您可以使用strace -f选项来跟踪subprocess。 获取可疑进程的pid，然后执行strace -f -p pid -o /tmp/strace.log 。 您应search“连接”或“RETR”关键字。