如何查询出包流量的进程？

提供几个思路，nethogs 都查不到的话，这些思路也不一定对你有用。

1. 命令 systemd-cgtop -i ，能看到 Input/s Output/s ，能查到对应的 cgroups ，但不一定能对你的症。

2. 命令 htop 可以把 DISK R/W, DISK READ, DISK WRITE 调出来，某进程在进行大流量上传下载有可能也会带来 IO 的大量读写，但不绝对。

3. 如果服务都是 systemd service ，可以编辑/etc/systemd/system.conf 并设置 DefaultIPAccounting=yes ，运行 systemctl daemon-reexec 后在 systemctl status xxx.service 中可以看到 IP 流量。

可以考虑用 ebpf 跟踪

不知道能不能发链接，直接给 base64：aHR0cHM6Ly9zYW50YW5kZXJzZWN1cml0eXJlc2VhcmNoLmdpdGh1Yi5pby9ibG9nL3NzaGluZ190aGVfbWFzc2VzLmh0bWw=
目前看疑似感染恶意程序，常规的都无法看到进程，与上述文章现象相似 80%
感谢回复 @EvineDeng @runzhliu

系统安全更新可不能等，应该第一时间就更新。