apache heeft er geen zin in?

[RiderXXX]

hello, sinds vanmiddag heb ik last van zeeeeer trage apache die via DA is meegekomen. ik check ps aux en zie een hondertal van zulke staan:

apache 2158 0.0 3.2 28996 14420 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2159 0.0 3.2 29080 14488 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2160 0.0 3.2 29124 14500 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2161 0.0 3.2 29088 14496 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2164 0.0 3.0 28520 13752 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2165 0.0 3.1 29088 14352 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2166 0.0 3.2 29088 14496 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2167 0.0 3.2 29080 14492 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2168 0.0 3.2 28896 14412 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL
apache 2181 0.0 3.2 29080 14456 ? S 00:08 0:00 /usr/sbin/httpd -k start -DSSL


en dus allemaal zo'n 3% CPU.. waarom zo veel? het lijkt wel of ze in een keer allemaal worden opgestart op de een of andere manier... iemand enig idee?

[snaaps]

honderdtal of honderden?

check ff of je server niet wordt aangevallen op httpd niveau.
check netstat op je inkomende verbinding en blokeer indien nodig ip's die veel voorkomen.

# netstat -an | sort -k5 | more

kopieer de ips die veel voorkomen en blok deze in de firewall.



of:



run this in shell

netstat -na | grep your.site-ip.here | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n

if you get a single IP who has connections 100-150+ than ban that/those IP's in your firewall or iptables.

connections of 50-60, are resonably normal. just people browsing the site, loading all the images, etc.





Ip toevoegen aan firewall:

# nano /etc/apf/deny_hosts.rules

[RiderXXX]

damn! zodra ik apache start en ik doe
# netstat -an | sort -k5 | more
staan er al zo'n 2500 connecties open.. allemaal naar poortje 80 :(
en dat van zo'n 1000 ip adressen...

Sterker nog, ik doe deze:

netstat -na | grep <mijn ip hier> | awk '{print $5}' | cut -d. -f1-4 | cut -d: -f1 | sort -n | uniq -c | sort -n

en zie een stuk of 1000 connecties vanaf verschillende ip's, de rest komt vanaf mijn eigen serverIP?!

En nog sterker:

Heb er een aantal gebanned qua IP en dat ziet er nu wel redelijk uit, maar
ik heb rond de 200 connecties vanaf mijn eigen serverIP en ook nog eens 500 vanaf "". Staat niks achter dus. En die connecties lopen juist op richting de 1000?!

edit
na 5 minuten ziet ie er zo uit:



1 140.211.166.5
1 146.67.146.40
1 193.152.129.211
1 205.188.234.98
1 217.93.252.100
1 62.97.234.194
1 63.209.224.216
1 67.81.182.17
1 70.2.49.127
1 77.102.214.47
1 79.67.55.4
1 82.104.251.51
1 84.105.132.112
1 84.173.80.197
1 84.189.92.1
1 87.168.174.94
1 87.65.28.57
2 0.0.0.0
2 205.188.234.101
2 65.93.193.206
2 84.73.33.193
2 88.252.242.145
156 89.248.161.15
565

[crazycoder]

Tip: zoek een beheerder die de server een keer goed door kan lichten.

Dit klinkt als een server waar iets niet pluis is. Bijvoorbeeld een scriptje wat ergens in /tmp huist..

Je kan hulp via een forum krijgen maar dat is in dit soort gevallen naar mijn mening te lastig..

[X-Hosted]

Dit klinkt als een server waar iets niet pluis is. Bijvoorbeeld een scriptje wat ergens in /tmp huist..

Probleem komt me bekend voor, had ook eens een keer iets wat op het 1e gezicht apache leek wat stond te trippen.. na verder onderzoek bleek echter dat het een ''masked'' proces was.. een vies irc botje wat als httpd gemasked was in de /tmp :o

[snaaps]

Ik vraag me af of dit probleem inmiddels is verholpen.