Apache服务器超载/伪造进程?

我的网站空间提供商告诉我,有来自我的空间的假过程,因此他已经closures了。 所以我所有的域名目前也是无法访问的。

他真的不知道该怎么做,他给我的唯一信息是:

--<PROZESS-AUSZUG>-- web277 7111 0.0 0.0 36192 2816 ? S 18:55 0:00 /usr/sbin/apache2 -k start web277 7319 0.0 0.0 36192 2912 ? S 18:56 0:00 /usr/sbin/apache2 -k start web277 7625 0.5 0.1 58800 13204 ? S 18:58 0:10 /usr/sbin/apache2 -k start web277 7647 0.0 0.0 36192 2916 ? S 18:58 0:00 /usr/sbin/apache2 -k start web277 9801 4.7 41.6 3572212 3403664 ? S 19:01 1:29 /usr/sbin/apache2 -k start web277 9809 0.2 0.1 85196 11940 ? S 19:01 0:04 /usr/sbin/apache2 -k start web277 9831 0.0 0.0 36192 2908 ? S 19:01 0:00 /usr/sbin/apache2 -k start web277 10617 0.2 0.0 54120 7992 ? S 19:05 0:03 /usr/sbin/apache2 -k start web277 10639 0.0 0.0 36192 2900 ? S 19:05 0:00 /usr/sbin/apache2 -k start web277 10645 0.0 0.0 36484 1992 ? S 19:05 0:00 /usr/sbin/apache2 -k start web277 10892 0.2 0.0 53300 7880 ? S 19:06 0:03 /usr/sbin/apache2 -k start web277 10914 0.0 0.0 36192 2908 ? S 19:06 0:00 /usr/sbin/apache2 -k start web277 11606 0.1 0.1 85216 12160 ? S 19:10 0:02 /usr/sbin/apache2 -k start web277 11634 0.0 0.0 36192 2928 ? S 19:10 0:00 /usr/sbin/apache2 -k start web277 15084 0.0 0.0 36192 3308 ? S 19:18 0:00 /usr/sbin/apache2 -k start --<PROZESS-AUSZUG>-- 

任何想法的家伙/女孩?

大部分看起来很正常。

他给你的是ps aux的输出,所以我添加了标题来帮助解释这些字段:

 USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND web277 9801 4.7 41.6 3572212 3403664 ? S 19:01 1:29 /usr/sbin/apache2 -k start 

唯一突出的就是上面那个。 它使用了机器可用内存的41%和可用CPU的4.7%(这对于单个Apache进程来说是很大的)。 它使用了1分29秒的CPU时间,这对于单个Apache进程来说是非常重要的。 我强烈怀疑这是您的托pipe服务提供商抱怨。

在我看来,特定的Apache进程陷入了无限循环。 你可以杀死它暂时解决你的问题,并让你的网站恢复在线( sudo kill 9801 ),但它可能会更好地找出它在做什么,所以你可以停止再次发生的问题。

如果您的托pipe服务提供商在其Apacheconfiguration文件中设置了ExtendedStatus on ,请让他给出与PID 9801相对应的/server-status中的行。这将包含请求URI,这将使您可以随时重现此问题。

如果您知道应用程序在获取该URI时做了什么,请find无限循环(假设我对这个问题的猜测是正确的),然后对其进行修复。

如果这还不足以解决这个问题,你也可以使用sudo strace -p 9801来找出这个进程到底在做什么。 这个命令通常会产生大量的输出并解释输出是整本书的主题,而不是ServerFault上的答案。

你可能想看看这个漏洞

http://www.claudiokuenzler.com/blog/206/another-timthumb-wordpress-hack-external-upload-httpd-process

特别是当你在/ usr / sbin / apache2上找不到你的服务器上的文件时,因为脚本可以伪造出现的名字。