[已解决][求助]apache2的CPU占用高，log显示服务器本机连续访问。

galaxy001

1. 
   
2. #tail /var/log/apache2/access_log
   
3. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:18 +0800] "GET /blog/ HTTP/1.0" 200 17599
   
4. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:17 +0800] "GET /blog/ HTTP/1.0" 200 17599
   
5. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:18 +0800] "GET /blog/ HTTP/1.0" 200 57532
   
6. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:17 +0800] "GET /blog/ HTTP/1.0" 200 17599
   
7. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:19 +0800] "GET /blog/ HTTP/1.0" 200 8067
   
8. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:19 +0800] "GET /blog/ HTTP/1.0" 200 44581
   
9. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:17 +0800] "GET /blog/ HTTP/1.0" 200 35459
   
10. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:17 +0800] "GET /blog/ HTTP/1.0" 200 35459
    
11. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:18 +0800] "GET /blog/ HTTP/1.0" 200 17599
    
12. xxx.xxx.xxx.xxx - - [28/Nov/2007:10:06:18 +0800] "GET /blog/ HTTP/1.0" 200 56234
    

复制代码

xxx.xxx.xxx.xxx 为服务器本机ip，但不是127.0.0.1。

zhllg

wireshark抓包啊

Yuri

Post by zhllg;1788735
wireshark抓包啊

估计他服务器上没有X，用tcpdump吧，估计是高级dos，太牛了。
可以用iptables加一条anti sportfish的策略，就是地址别乱来。

zhllg

把ip包头的原地址改成了目的地址，也就是他的服务器了？

galaxy001

wireshark访问eth0要调哪的权限？
/dev下没有net也没有eth0。
我总不能老用root运行它吧。

tcpdump -i lo 'port 80' -n 也不错。

galaxy001

我在lo 上抓到那些包了。eth0上没有port=80的。
可原因是啥？

galaxy001

有5001与44177  ，502xx与80， 两对通信。
如何判断是那些进程监听这些端口？

galaxy001

netstat -p 竟然告诉我是apache2在连自己。
      <IfModule mpm_peruser_module>
                ServerEnvironment apache apache
        </IfModule>
会和它有关吗？

我刚把它去掉了。
#cat /etc/apache2/vhosts.d/00_wiki_blog.conf |grep \# -v

<IfDefine DEFAULT_VHOST>
Listen 80
NameVirtualHost *:80
<VirtualHost *:80>
        Include /etc/apache2/vhosts.d/default_vhost.include
        DocumentRoot /var/www/galaxy/
        <Directory />
                Options FollowSymLinks
                AllowOverride None
                Order deny,allow
                Deny from all
                Allow from xxx.xxx.xxx.0/255.255.255.0 ::1/128 xxx.xxx.xxx.0/255.255.255.0
        </Directory>

        Alias /wikiold/ "/biology/xxxwww/apache2/wiki/"
        <Directory /biology/xxxwww/apache2/wiki/>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride None
                Order allow,deny
                allow from all
        </Directory>

    Alias /doc/ "/usr/share/doc/"
    <Directory "/usr/share/doc/">
        Options Indexes MultiViews FollowSymLinks
        AllowOverride None
        Order deny,allow
        Deny from all
        Allow from 127.0.0.0/255.0.0.0 ::1/128
    </Directory>
</VirtualHost>
</IfDefine>

yggdrasil

随便猜测，会不会你服务器上有php环境？
会不会; allow_url_fopen 或者allow_url_include 开着，然后某个下载程序fopen用80读取本地文件?

galaxy001

/etc/php/apache2-php5/php.ini 中这2项都是off。
我就有mediawiki 和 wordpress 2个东西在运行。
php5.2.5 MySQL5.0.44-r2  PostgreSQL8.2.5 apache2.2.6

这种问题要如何处理？好像没听说调试php的……