在 Linux 系統中，如果發現某個行程行為異常，可以透過查看其相關資訊來進行排查，例如行程的屬主、執行的檔案路徑、當前工作目錄等。以下介紹幾種常見的查詢方法。

方法一：透過 /proc/pid 目錄查詢

每個行程在 Linux 中都對應一個 /proc/pid 目錄（其中 pid 為行程編號），可以直接查看該行程的詳細資訊：

• cat /proc/pid/cmdline：查看行程啟動時的命令列參數
• cat /proc/pid/environ：查看行程的環境變數，其中包含當前目錄（PWD）、登入使用者名稱（LOGNAME）等資訊

方法二：追蹤 su 來源使用者

如果使用者是從一般帳號透過 su 切換到 root 來執行指令，可以透過以下步驟追溯原始使用者：

1. 使用 ps -p pid -o pid,ppid,comm 查看該行程的父行程 ID（PPID）
2. 找到對應 su 指令的行程 PID
3. 再查看該 su 行程的環境變數，即可得知是從哪個一般使用者帳號切換至 root 的

透過上述方法，可以快速定位行程的來源與執行背景，協助進行系統排錯與安全審查。