100% CPU Usage, über 50% vom System

[balufreak]

Hallo zusammen,

ich hab da ein root-Server, welcher ein Bisschen rumzickt. Laut Munin steht die CPU unter Volldampf. Also 100%ige Auslastung. Ein Kontrollblick in top und htop bestätigen das.

top - 01:48:13 up 21:56,  1 user,  load average: 5.73, 5.70, 5.65
Tasks: 109 total,   7 running, 102 sleeping,   0 stopped,   0 zombie
Cpu(s): 33.9%us, 66.1%sy,  0.0%ni,  0.0%id,  0.0%wa,  0.0%hi,  0.0%si,  0.0%st
Mem:   4050132k total,  3911856k used,   138276k free,   179840k buffers
Swap:  2104376k total,        0k used,  2104376k free,  3227412k cached

Nun möchte ich wissen an was das liegt. Ich habe in top mal nach der CPU sortiert. Die einzigen Prozesse welche laut top CPU-Last erzeugen sind php5-cgi Prozesse mit ca 5% CPU Auslastung.

Ich kann nirgends sehen woher diese hohe Systemauslastung herkommt. Wo sollte ich am besten zuerst nachschauen? Bzw. wie gehe ich an dieses Problem ran?

Der Server hat folgende Specs: Single Xeon 3040, 4GB, 2x250GB
Es läuft ein ispCP darauf. Sprich Webserver, Mailserver, DNS und FTP. Daneben laufen noch Dienste wie monit oder munin.

 

[balufreak]

ich habe jetzt gleich mal die beiden 5% php5-cgi prozesse von hand gekillt. und schwups war die systemlast weg. wie kann das sein?

 

[Guest]

ich habe jetzt gleich mal die beiden 5% php5-cgi prozesse von hand gekillt. und schwups war die systemlast weg. wie kann das sein?

Hat viele möglichkeiten.

Hast du z.b vllt irgendwo eine Endlosschleife in PHP? Also in den Scripten?.

Oder vllt hat sich ein Script auch nur aufgehangen und verursacht so last.

 

[bitmuncher]

Aus irgendeinem Grund wird primär Systemzeit verbraucht und nicht Userzeit, was bei Userspace-Programmen eher ungewöhnlich ist. Du solltest mal überprüfen ob die zum PHP-Interpreter gehörenden Dateien modifiziert wurden. Ansonsten würde ich in den Systemlogs mal nach Auffälligkeiten schauen.

 

[Guest]

Aus irgendeinem Grund wird primär Systemzeit verbraucht und nicht Userzeit, was bei Userspace-Programmen eher ungewöhnlich ist. Du solltest mal überprüfen ob die zum PHP-Interpreter gehörenden Dateien modifiziert wurden. Ansonsten würde ich in den Systemlogs mal nach Auffälligkeiten schauen.

Oh, stimmt!

Sry, ist mir erst jetzt aufgefallen.

 

[balufreak]

Du solltest mal überprüfen ob die zum PHP-Interpreter gehörenden Dateien modifiziert wurden.

ähm was? was könnte das z.b sein?

Ansonsten würde ich in den Systemlogs mal nach Auffälligkeiten schauen.

in welchen logs schaue ich da am besten zuerst?

 

[JBR]

in welchen logs schaue ich da am besten zuerst?

syslog, Logdateien des Mailservers, Logdateien des Webservers und alles andere was du in /var/log/messages findest.

ähm was? was könnte das z.b sein?

Im günstigsten Fall bekommst du von deinem Distributor das Originalpaket und kannst die Dateien vergleichen(z.b mit md5sum)

Außerdem könnte chkrootkit oder rkhunter ganz hilfreich sein.