Dotaz: Vytížení Apache na 100%

[David]

Příloha:

• C:\Documents and Settings\Administrator\Plocha\cpu-hour.png (0 bytů)

Prosím o radu. Provozuji server s CPU dual-core Xeon 2,2GHz, OS linux Debian Sarge. Mám následující problém. Vše funguje ok, systém zabírá cca 5% CPU, uživatelské požadavky navíc dalších 10% CPU, něco se stane, systémové požadavky skočí na 60% CPU, uživatelské doplní 40% do 100% vytížení CPU. Začalo to pár webovými stránkami, které měly ve zdrojovém kódu HTML/IFRAME infiltraci. Zavirované soubory jsou již nyní čisté, vše přeheslováno, nyní není na serveru žádný takový zavirovaný soubor. Ale apache cca 1x denně skočí na 100% vytížení CPU. Nikdo si s tím neví rady. :( po restartu apache se vše vrací do normálních kolejí. V době, kdy byly na serveru zavirované soubory, padal apache každou hodinu 2x. Vždy po navštívení zavirované stránky uživatelem.

Děkuji

D.

Odpovědi

[Heřmi]

videl bych to, ze jsi neco prehledl co rikaj logy a co top kolik si veme pri te 100vce apache?

[David]

z logu (server-status) je zřejmé, že veškeré stránky, které je schopný apache v dané chvíli zpracovávat najednou zabírají od 10 do 20%. Po restartu apache opet zabiraji do 1%. Zpracovávané webové stránky jsou pokaždé jiné. Těžko tedy zvolit viníka. pokud spustím server-status z konzole, po pár vteřinách se ukončí, protože nemá dostatek prostředků. Přes webové rozhraní udělám jednorázový výpis momentálně zpracovávaných procesů apachem. Např. zpracovávání obrázku o velikosti 100Kb bere 27%CPU.

[Lubos Kopecky]

mam podobny problem na jednom serveru, jen to bylo na Etch a po presunu jinam to ted bezi na Lenny - jakym nastrojem byly ty soubory detekovany, ze jsou infiltrovany? jinak u mne se to projevuje tak,ze se spusti hrozne moc procesu apache a zaplni se gigo pameti i dvougigovej swap a system prestane skoro reagovat. Zabitim apache se to v mem pripade vyresi na nespecifikovane casove obdobi (pamet padne nekam ke 400M a swap se vyprazdni).

[David]

Problém se objevil ještě před upgradem na Apache/2.2.3 (Debian) PHP/5.2.0-8+etch15 Server. Po upgradu pořád stejné. Teď se chystám na Lennyho ale dle zkušeností některých, kteří již tento krok provedli jsem trochu opatrnější. To, že jsou soubory infikované jsem zjistil od zákazníka, který mě sdělil, že všechny jeho stránky, od kterých měl přístupy uložené v Totalu jsou zavirované. Modifikace ve všech index.php a html, vložený HTML/IFRAME. Antivir bohužel HTML/IFRAME infiltraci nedetekuje. Procházel jsem stránky jednotlivě a našel jsem modifikaci v kódu, kde se skrze iframe vkladal script z nejaké domény z číny. Potom jsem věděl, co mám hledat. Poté ještě modifikace v .htaccessu, které jsem také odstranil. Pokaždé, kdy návštěvník zabrousí na zavirovanou stránku, tak se mi apache vytížil na 100%. Ale už nyní nemůžu žádnou infiltraci najít. Zkoušel jsem snad vše.

[David]

Omlouvám se, jedná se o Debian Etch. Uvedl jsem špatný název.

[Heřmi]

napadlo me zkusit update jestli tam nebude nejaka chybka v samotnem balicku

[David]

Jj, to mě taky napadlo. Ale to už musím přejít na Lennyho. Divné je, že před uvedeným problémem se cca 2 měsíce neupgradoval apache. ani distribuce a problém nenastával. Ten problém se prostě objevil nezávazně na aktualizacích.