User vu2036 кучей процессов грузит сервер, помогите разобраться

[falkon]

Примерно 5 часов сервер попросту был перегружен из-за этого пользователя, причем это происходит периодично.
Вот пример:

Code:

PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND
9404 vu2036    20   0 25144 7488 3240 R    9  0.2   0:10.22 php5-cgi                                                                                                              
9419 vu2036    20   0 25856 7364 3360 S    9  0.2   0:09.76 php5-cgi                                                                                                              
9420 vu2036    20   0 26668 7868 3172 R    9  0.3   0:10.00 php5-cgi                                                                                                              
9384 vu2036    20   0 26632 8012 3360 S    9  0.3   0:10.88 php5-cgi                                                                                                              
9399 vu2036    20   0 25856 7364 3360 S    9  0.2   0:10.38 php5-cgi                                                                                                              
9407 vu2036    20   0 25904 7472 3420 S    9  0.2   0:10.74 php5-cgi                                                                                                              
9382 vu2036    20   0 26632 8012 3360 R    8  0.3   0:12.20 php5-cgi                                                                                                              
9389 vu2036    20   0 26692 8008 3420 S    8  0.3   0:10.32 php5-cgi                                                                                                              
9400 vu2036    20   0 26944 8256 3416 S    8  0.3   0:10.64 php5-cgi                                                                                                              
9403 vu2036    20   0 26636 7924 3352 S    8  0.3   0:10.82 php5-cgi                                                                                                              
9408 vu2036    20   0 25872 7372 3352 S    8  0.2   0:09.54 php5-cgi                                                                                                              
9383 vu2036    20   0 26884 8344 3568 S    7  0.3   0:11.96 php5-cgi                                                                                                              
9385 vu2036    20   0 26648 8064 3396 R    7  0.3   0:10.96 php5-cgi                                                                                                              
9405 vu2036    20   0 25928 7544 3468 S    7  0.2   0:10.48 php5-cgi                                                                                                              
9406 vu2036    20   0 26680 8272 3444 S    7  0.3   0:10.00 php5-cgi                                                                                                              
9409 vu2036    20   0 24612 7224 3232 S    7  0.2   0:09.72 php5-cgi                                                                                                              
9410 vu2036    20   0 24616 7244 3240 S    7  0.2   0:10.62 php5-cgi                                                                                                              
9411 vu2036    20   0 26692 8068 3436 S    7  0.3   0:10.18 php5-cgi                                                                                                              
9432 vu2036    20   0 25812 6900 2904 S    7  0.2   0:05.94 php5-cgi                                                                                                              
9434 vu2036    20   0 25860 7356 3348 S    6  0.2   0:05.80 php5-cgi

Помогите разобратся в чем может быть проблема.

--------------------
ispCP 1.0.7 OMEGA
Debian lenny

[willrain]

Кто-то обращается на сайт, который работает под этим пользователем. Смотри логи веб-сервера. Не вижу проблемы.

[willrain]

Quote: А как узнать, что это за пользователь в ispcp?

Посмотреть в /etc/passwd

[DragonZX]

Можно и проще, в папке /var/www/virtual посмотреть какой каталог (домен) создан пользователем

[ZULI]

У меня такая же фигня, сайт на WordPress, ~8000 постов, людей 50-100 в день и постоянно висит куча процессов php5-cgi

[sslam]

У меня похожая история, пользователь vu2040 постоянно что-то делает.
Чуть ранее я удалил этот домен из-за того, что он сильно грузил сервер.

Пользователя нет, а процессы из-под него выполняются.


Что делать?

[plastilin]

Смотреть в логах кто ломится на сайт, у меня была проблема - ломился ботнет. Пришлось поставить mod_evasive немного попустило, потом прошло + повесил fail2ban - но опасно, может и хороших забанить

[willrain]

Значит, не удалил, либо удалил только алиас основного домена. Смотри /etc/passwd для начала - есть там запись этого пользователя или нет. "что-то делает" - что именно? Работают PHP-процессы?

[sslam]

(04-11-2012 11:20 PM)plastilin Wrote:  Смотреть в логах кто ломится на сайт, у меня была проблема - ломился ботнет. Пришлось поставить mod_evasive немного попустило, потом прошло + повесил fail2ban - но опасно, может и хороших забанить

fail2ban стоит с самого начала, ботов много, но он всех банит. "Хороших парней" пока, вроде бы, не банил. Про mod_evasive не слышал, спасибо за наводку, почитаем.

---

(04-11-2012 11:23 PM)willrain Wrote:  Значит, не удалил, либо удалил только алиас основного домена. Смотри /etc/passwd для начала - есть там запись этого пользователя или нет. "что-то делает" - что именно? Работают PHP-процессы?

Спасибо за /etc/passwd, я думал, что эти user'ы только в БД. Нашёл пользователя vu2040, оказался совсем не тот домен, на который думал изначально.

Можно сказать, что проблема решена. Осталось только разобраться какие скрипты у него там всё время работают.