linux上面 /var/www/bin/httpd 进程特别多 占用内存比较大

Question

服务器正常时候 延迟57  可是 过一阵就2000多    服务器进程 一下从7页变成15页   /var/www/bin/httpd 增加几百个 
 错误日志 ： 一小时有10M  都是差不多一句话 
[Fri Feb 24 09:42:11 2012] [error] [client 125.129.39.98] File does not exist: /data/home/website2/htdocs/js/document.write.js, referer: http://www.我的网站.com/ndxbby/
 访问日志 ：1分钟有1M    
请问是怎么回事啊    

Answer 1

看起来是有人在攻击吧.这个js是否曾经存在?看一下ip是不是都是一个 屏蔽掉这个ip

Answer 2

我觉得也是有人在攻击   不咋会弄  ，我技术不是很好啊    
这个错误 一秒钟 有四条 不同IP的访问 ！  apache 我开着rewirte 了  不知道是不是导致慢的原因   
现在已关  ， 网站速度还可以 不过这个慢是一阵一阵的    好半小时 挂半小时的这种   
js 不存在 ， IP 不同  老大 麻烦了

Answer 3

我觉得也是有人在攻击 不咋会弄 ，我技术不是很好啊   
这个错误 一秒钟 有四条 不同IP的访问 ！ apache 我开着rewirte 了 不知道是不是导致慢的原因   
现在已关 ， 网站速度还可以 不过这个慢是一阵一阵的 好半小时 挂半小时的这种   
js 不存在 ， IP 不同   

Answer 4

js 不存在 ， IP 不同     

Answer 5

文件不存在导致大量的日志产生,可以修改apache 的错误日志记录等级
或者直接满足他们,写个js文件空白,或者document.write.js内容:
alert('fuck u ass!');不过前提是这个文件的确是没用哈...嘿嘿.
在服务器防火墙屏蔽掉那几个ip或者在apache 禁止ip访问也可以.

Answer 6

我这网站是dede系统的 
 以前有过攻击 不过重启下apache能缓解一点时间  
这回重启也没用， 我把站点下的所有php文件全部<FilesMatch "\.(php)$">
Deny from all
</FilesMatch>
也不行

Answer 7

查日志. 成功的 和不成功的都要分析.大量访问什么页面 来路...linux 下自动检测文件的工具比较少.
你可以下载回来所有文件,不包括图片等然后到本地win下用安全工具检测一下,好像金山什么的就有这些功能了.
很多时候给人写了代码在上面 自己攻击自己...

Answer 8

果然是dedecms...呵呵 先升级把漏洞给堵上,查文件吧 看看哪个地方给加了代码,数据库也检查检查

Answer 9

另外一个cpu占用大不大,这个不要忘记了php版本多少 最近php不是暴了个大漏洞出来嘛,拒绝攻击.

Answer 10

治本的解决方案，上面已经很清楚了
治标的话，将apache配置中，这些数据都改小，就不会有那么多httpd了...不过只是看起来进程数减少了而已，并不会有什么好的改善哦...呵呵...还是先治本吧.. ServerLimit 
 StartServers  
 MaxClients    

Answer 11

 - - root 密码丢了     

Answer 12

密码刚申请回来 ， cpu 用的不大    把执行php  js 都禁用了  延迟也2000多   但是把网站停了  一下就65了     
补丁也是最新的 ， 搞不懂啊

Answer 13

是不是你的服务器忙着写log,i/o频繁导致无法快速响应请求。

Answer 14

那我试试 ！！！ 
顺便问一句  除了history怎么知道别人登录服务器都干了些什么呢？   

Answer 15

那你有没有看下top命令或者vmstat查看下瓶颈出在哪,cpu,内存，还是i/o。

Answer 16

top出来的  很多条httpd  得有几百条吧

Answer 17

嗯，apache是默认的prefork模式。
会不会是你的dedecms网站有在执行很慢的sql语句，导致每次请求fork出来的httpd子进程释放不了。你可以进到mysql命令行show processlist看下会不会有很多未释放的mysql线程。
根据你前面说你关闭这个dedecms站点就没事，很有可能是这个cms的问题呀。

Answer 18

   o  NO    还是 没有解决  代码经过检查没有问题 从错误日志里面看出每秒有4个以上的不通IP访问一个没有的js文件   、 或者没有的图片 、访问一个目录  不知道怎么解决啊 

Answer 19

第一轮进攻:　　时间:下午15点30左右　　突然发现公司的web server无法访问，尝试远程登录，无法连接，呼叫idc重启服务器。启动后立即登录察看，发现攻击还在继续，并且apache所有230个进程全部处于工作状态。由于服务器较老，内存只有512m，于是系统开始用swap，系统进入停顿状态。于是杀掉所有httpd，稍后服务器恢复正常，load从140降回正常值。　　开始抓包，发现流量很小，似乎攻击已经停止，尝试启动httpd，系统正常。察看httpd日志，发现来自五湖四海的IP在尝试login.php，但是它给错了url，那里没有login.php，其他日志基本正常，除limit RST ....之类较多，由于在攻击中连接数很大，出现该日志也属正常。　　观察10分钟，攻击停止。　　第二轮进攻:　　时间:下午17点50分　　由于有了前次攻击经验，我开始注意观察web server的状态，刚好17点50分，机器load急剧升高，基本可以确定，又一轮攻击开始。　　首先停掉了httpd，因为已经动弹不得，没办法。然后抓包，tcpdump -c 10000 -i em0 -n dst port 80 > /root/pkts发现大量数据报涌入，过滤其中IP，没有非常集中的IP，于是怀疑属于DDoS接下来根据上次从日志中过滤得到的可疑地址，比较本次抓包结果，发现很多重复记录。　　分析:　　这不是简单的DDoS，因为所有httpd进程都被启动，并且留下日志，而且根据抓包记录，每个地址都有完整的三次握手，于是确定，所有攻击源都是真实存在的，不是虚假的IP。　　这样的可疑IP一共有265个，基本上都是国外的，欧洲居多，尤其西班牙。公司客户在欧洲的可为凤毛麟角，只有丢卒保车了。　　采取的措施:　　把所有265个IP，统统加入防火墙，全部过滤ipfw add 550 deny tcp from % to me 80，重新启动httpd。　　观察了3个小时，ipfw列表中所有ACL的数据报量仍旧持续增长，但是公司的web server已经工作正常。　　至此，此次攻击暂告一段落，不排除稍后继续发生，但是由于攻击者使用的都是真实肉鸡，同时掌握超过300个肉鸡实属罕见，因此基本上他不能够在短期内重新发动进攻。

Answer 20

你看看是不是机房中arp了,绑定一下机房的网关mac地址

Answer 21

应该不会 ， 我想屏蔽他们IP    是用apache 呢 还是用iptables呢？ 

Answer 22

当然是 ipdatbles 能在底层屏蔽的事情不要增加apache的负担.

Answer 23

早上那会访问量很小  IP比较固定     现在量有上来了  屏蔽不是个办法啊   [Mon Feb 27 11:10:51 2012] [error] [client 113.204.37.166] File does not exist: /data/home/website2/htdocs/images/main3_cenner_bj.jpg, referer: http://www.hhdx120.com/?=xywy
[Mon Feb 27 11:10:52 2012] [error] [client 183.17.51.158] File does not exist: /data/home/website2/htdocs/images/main3_cenner_bj.jpg, referer: http://www.hhdx120.com/?=xywy
[Mon Feb 27 11:10:52 2012] [error] [client 203.208.60.73] script '/data/home/website2/htdocs/plus/data.php' not found or unable to stat
[Mon Feb 27 11:10:55 2012] [error] [client 123.76.82.179] File does not exist: /data/home/website2/htdocs/images/E_left_bg_10.gif, referer: http://www.hhdx120.com/
[Mon Feb 27 11:10:55 2012] [error] [client 123.76.82.179] File does not exist: /data/home/website2/htdocs/images/E_book_ti_10.gif, referer: http://www.hhdx120.com/
[Mon Feb 27 11:10:55 2012] [error] [client 123.76.82.179] File does not exist: /data/home/website2/htdocs/images/main3_cenner_bj.jpg, referer: http://www.hhdx120.com/
[Mon Feb 27 11:10:57 2012] [error] [client 58.54.86.59] File does not exist: /data/home/website2/htdocs/images/E_book_ti_10.gif, referer: http://www.hhdx120.com/?ywm142&bdclkid=TC__J2mUxFQzMv0BMGneJGtFeBLK0gs-4nOL7HMkFnjP
[Mon Feb 27 11:10:57 2012] [error] [client 58.54.86.59] File does not exist: /data/home/website2/htdocs/images/E_left_bg_10.gif, referer: http://www.hhdx120.com/?ywm142&bdclkid=TC__J2mUxFQzMv0BMGneJGtFeBLK0gs-4nOL7HMkFnjP
[Mon Feb 27 11:10:58 2012] [error] [client 58.54.86.59] File does not exist: /data/home/website2/htdocs/images/main3_cenner_bj.jpg, referer: http://www.hhdx120.com/?ywm142&bdclkid=TC__J2mUxFQzMv0BMGneJGtFeBLK0gs-4nOL7HMkFnjP
[Mon Feb 27 11:10:58 2012] [error] [client 58.214.13.114] File does not exist: /data/home/website2/htdocs/images/E_left_bg_10.gif, referer: http://www.hhdx120.com/
[Mon Feb 27 11:10:58 2012] [error] [client 58.214.13.114] File does not exist: /data/home/website2/htdocs/images/E_book_ti_10.gif, referer: http://www.hhdx120.com/
[Mon Feb 27 11:10:58 2012] [error] [client 58.214.13.114] File does not exist: /data/home/website2/htdocs/images/main3_cenner_bj.jpg, referer: http://www.hhdx120.com/
[Mon Feb 27 11:11:11 2012] [error] [client 111.162.237.4] File does not exist: /data/home/website2/htdocs/images/E_left_bg_10.gif, referer: http://www.hhdx120.com/?=xywy
[Mon Feb 27 11:11:11 2012] [error] [client 111.162.237.4] File does not exist: /data/home/website2/htdocs/images/E_book_ti_10.gif, referer: http://www.hhdx120.com/?=xywy