Is he still listed as connected with the who command because he has a process running with his name?
Não, porque não é isso que o comando who
lista.
Comandos como who
, w
, finger
, pinky
e users
simplesmente lêem o arquivo / var / run / utmp que é um banco de dados de "login sessões "mantidas pelos próprios gerenciadores de login. Então, quando você faz o login via SSH, é o sshd que adiciona uma entrada ao utmp. Quando sua conexão SSH termina, o sshd remove essa entrada, independentemente de quais processos podem permanecer.
Or even with ps aux | grep ssh ?
Não, porque não há mais conexão SSH, portanto, nenhuma razão para a instância sshd do usuário permanecer por mais tempo.