Я использую centos 8, mariadb 10.5, php 7.4
введите описание изображения здесь
Как вы можете видеть, 16 потоков на 100% застряли там, что очень необычно, обычно мой процессор постоянно находится на 10-25%.
вот верхнее изображение введите описание изображения здесь
Что здесь происходит ?
похоже, я не исправил это, он продолжает возвращаться, даже после того, как я отключил Redis
Что здесь происходит ?
# crontab -l
0 8 * * * root /usr/bin/php /var/www/html/wp-cron.php and
> # ls -la /tmp total 3888 drwxrwxrwt. 14 root root 4096 Jan 28 21:51 . dr-xr-xr-x. 19 root root 4096 Jan 20 16:35 .. drwxrwxrwt
> 2 root root 4096 Jan 20 11:55 .font-unix drwxr-xr-x 2 redis
> redis 4096 Jan 28 21:47 .ICEd-unix drwxrwxrwt 2 root root
> 4096 Jan 20 11:55 .ICE-unix
> -rwxr-xr-x 1 redis redis 3922304 Jan 28 21:47 kdevtmpfsi
> -rw------- 1 redis redis 0 Jan 28 18:00 linux.lock drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-chronyd.service-pfLMOx
> drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-httpd.service-ZsAdQu
> drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-memcached.service-xg2hBP
> drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-named.service-593azu
> drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-php-fpm.service-fM8F4O
> drwx------ 3 root root 4096 Jan 28 20:49
> systemd-private-ccaba531523740f8a142a533d87ffd1b-postfix.service-Bf2p49
> drwxrwxrwt 2 root root 4096 Jan 20 11:55 .Test-unix drwxrwxrwt
> 2 root root 4096 Jan 20 11:55 .X11-unix drwxrwxrwt 2 root root
> 4096 Jan 20 11:55 .XIM-unix
kdevtmpfsi это майнер или кто-то еще, кто знает, с помощью простого взлома, который ему удалось получить на сервере с помощью redis, и положить сюда свое дерьмо майнинга, или кто знает, что это такое.
Как я предотвращаю повторение этого
Этот процесс похож на известное вредоносное ПО для майнинга криптовалют, вы используете докер? не могли бы вы отправить содержимое crontab -l и ls -la / tmp
Он вошел через Redis
Решение: используйте надежный пароль для Redis и используйте защищенный режим на
Как его вытащить? kill -9 pid и проверьте / tmp, / var / tmp и удалите его файлы и замените их файлом с таким же именем
сделано
убить процесс redis и позволить ему запуститься, потому что ваш процессор загружен на 100%. если можете, перезагрузите машину.