如何查看某进程是被哪个软件开启的?

[FaiChou]

系统 macOS Big Sur 11.2.3 (20D91)

可以查看以下两个帖子, 我的电脑总是莫名其妙上传大量数据, 进程: syncdefaultsd:

• 每天 Bug Sur 系统都会通过 syncdefaultsd 进程上传大量数据
• 升级到 Big Sur 经常 iCloud 备份 (syncdefaultsd 进程)

打电话给苹果 iCloud 客服, 客服说这个进程不是苹果系统的, 苹果也不承认第三方论坛里关于syncdefaultsd 是 iCloud 上传数据的进程这一说法.

没办法, 只好自己去找线索:

/System/Library/PrivateFrameworks/SyncedDefaults.framework/Support/syncdefaultsd
/Library/Preferences/Logging/.plist-cache.jC43tyhM
/private/var/db/analyticsd/events.whitelist
/usr/lib/libobjc-trampolines.dylib
/Users/FaiChou/Library/SyncedPreferences/com.apple.kvs/com.apple.KeyValueService.EndToEndEncrypted-Production.sqlite-shm
/private/var/db/timezone/tz/2021a.1.0/icutz/icutz44l.dat
/private/var/db/mds/messages/501/se_SecurityMessages
/usr/lib/dyld
/usr/share/icu/icudt66l.dat
->0xc57f93a6def745e9
/Users/FaiChou/Library/SyncedPreferences/com.apple.kvs/com.apple.KeyValueService.EndToEndEncrypted-Production.sqlite
/Users/FaiChou/Library/SyncedPreferences/com.apple.kvs/com.apple.KeyValueService.EndToEndEncrypted-Production.sqlite-wal
/Users/FaiChou/Library/SyncedPreferences/com.apple.kvs/com.apple.KeyValueService.EndToEndEncrypted-Production.sqlite-shm
[ctl com.apple.netsrc id 6 unit 62]
macbook-air:53612->111.206.109.248:https

看起来 syncdefaultsd 像是苹果自己的进程, 那如何查看他是通过哪一进程唤起的呢?

是苹果的进程实锤了, 有以下几个上传请求:

```
aidc.apple.com
ocsp2.apple.com
p48-keyvalueservice.icloud.com.cn
```

https://support.apple.com/en-gb/HT210060

[Vegetable]

活动监视器 详情里边的父进程不行吗，不过我这里大部分都是 launchd (1)

[FaiChou]

@Vegetable 是的, launchd(1) 然后就摸不着头脑了

[drawstar]

顶，关注下

[divilkcvf]

iCloud 客服能背诵 Mac 系统自带进程么……苹果客服门槛有点高

[dLvsYgJ8fiP8TGYU]

macOS 里面以 [一个或数个英文单词] + [字母 d] 为名称的进程几乎都是系统进程，比如 iCloud 同步、定位服务、天气等等，在抓包软件里经常能看到。不明白 Apple 为什么不承认

[Tianao]

@dLvsYgJ8fiP8TGYU #5 不是所有守护进程都这样吗，和苹果有啥必然联系？

[alphanow]

父进程 launchd 就是由 Launch Daemon 唤起的，也就是 service 。
sudo launchctl procinfo <pid> 可以查看更详细的信息。
一般 system service 配置都在 /System/Library/LaunchDaemons

[1002xin]

苹果客服能知道这些事吗。。。

[billlee]

Mac os 的 executables 都有数字签名吧？

[chonger]

可能和 clashx 这种 vpn 有关，我发现我把 clash 关了 syncdefaultsd 就不再上传。而且你过往的截图没发现 clash 的上传速度和你那个可疑进程的上传速度惊人的吻合吗？

[lcdtyph]

@chonger
那是因为 syncdefaultsd 的流量被 clashx 接管了所以流量算两次…一次是 syncdefaultsd 上传到 clashx，一次是 clashx 上传到真实目的地

令：clashx 不是 vpn

[FaiChou]

@1002xin
@divilkcvf
客服查询了一段时间, 然后给我说不是苹果自己的进程.


@chonger 我没有设置系统代理, 所以流量没有到 clash 里, 所以和 clash 应该没啥关系.

[free9fw]

还有个 idscan，一直占 cpu，卡到不行

[answerhuang]

我都是在 Surge 的 Processes 里面看的. 能看到归属应用