前言 一直在忙,之前一直怀疑机器中马,kswapd0这个进程4核心CPU24小时跑满单核心,简单排查无果,看了 简单处理 Linux 安装杀毒软件 ClamAV 前两天有小伙伴找到杜老师询问是否可以帮忙查杀服务器的木马病毒...正好杜老师最近在研究 Linux 平台的杀毒软件，分享一下 ClamAV 的使用方法。...这篇文章,安装排查后无果,记得在哪看过kswapd0挖矿病毒;度娘了一下 彻底删除挖矿病毒kswapd0 来源于知乎 各种尝试无果后,因为忙,再加上也没发现破坏数据和对外发包,屏蔽了大量出口IP后也就丢下没管了...虽然不严格属于缓存，但它是 Linux 系统用来扩展虚拟内存的一种方式。 结言 Linux 的缓存机制是通过在内核中实现的，它们都可以自动管理，并且在系统运行时根据需要动态调整。...linux的基本默认设置为60
今年5月20日左右，第一次从 kswapd0 占用这系统的资源，I/O 持续过高且极其消耗内存中发现服务器被植入了挖矿病毒。...Shellbot 利用物联网（IoT）设备和 Linux 服务器上的常见命令注入漏洞进行感染。...Linux 服务器上远程执行代码。...来源：《亡命徒（Outlaw）僵尸网络感染约2万台 Linux 服务器，腾讯安全提醒企业及时清除》 安全建议 建议企业 Linux 服务器管理员检查服务器资源占用情况，及时修改弱密码，避免被暴力破解。...若发现服务器已被入侵安装挖矿木马，可参考以下步骤手动检查、清除： 删除以下文件，杀死对应进程： /tmp/*-unix/.rsync/a/kswapd0 */.configrc/a/kswapd0 md5
这个进程是和虚拟内存相关的，在网上查到的资料： kswapd0占用过高是因为物理内存不足，使用swap分区与内存换页操作交换数据，导致CPU占用过高。...看来kswapd0负载过高，还有一种可能性是因为没有开启swap虚拟内存，而物理内存不够使用。所以小内存的VPS还是尽量开启swap内存吧。
]# python Python 2.7.5 (default, Apr 2 2020, 13:16:51) [GCC 4.8.5 20150623 (Red Hat 4.8.5-39)] on linux2...而进程kswapd0 就是用来进行内存回收的，所以min_free_kbytes的大小要确保kswapd0 进程是可以被成功调起的，否则kswapd0就无法进行内存回收的操作....这时候会唤醒 kswapd0进程进行内存回收。 既然在低于 low的时候就唤醒了kswapd0，那么确保min_free_kbytes 可以提供kswapd0唤醒所需内存有何意义呢？...其实在现在的linux系统的kenel里面，cache和buffer的意义已经发生了变化： Buffers %lu Relatively...工作中经常遇到的一个问题是： linux 的cache 占用非常高，有如下的两种参考方案： 修改kernel 参数 /proc/sys/vm/drop_caches 的值，从而清空cache.
虽然不是导致此次问题的主要原因，但也是一个潜在的隐患； 在整个排查过程中，没有仔细的检查每一个监控指标； 排查到Z进程的时候，忽略了linux更底层的一些技术特性（或者说原理)； 思考 Z进程怎么会占用那么高的...翻查资料得到以下解释： kswapd0 进程占用 CPU 较高的处理，kswapd0 是 Linux 系统虚拟内存管理中负责换页的进程。...Linux 系统通过分页机制管理内存的同时，将磁盘的一部分划出来作为虚拟内存。当系统内存不足时，kswapd0 会频繁的进行换页操作。...如果使用 top 命令，看到 kswapd0 进程持续占用大量 CPU 资源，可以进一步使用 vmstat，查看系统的虚拟内存的情况，如果 si，so 也比较高，证明系统存在频繁的换页操作，当前的系统物理内存已经不能满足需要...关于此处， 2.僵尸进程和孤儿进程 在unix/linux中，正常情况下，子进程是通过父进程创建的，子进程在创建新的进程。
-rf /usr/local/cloudmonitor else export ARCH=amd64 if [ -f /usr/local/cloudmonitor/CmsGoAgent.linux...-${ARCH} ]; then /usr/local/cloudmonitor/CmsGoAgent.linux-${ARCH} stop && /usr/local/cloudmonitor.../CmsGoAgent.linux-${ARCH} uninstall && rm -rf /usr/local/cloudmonitor else echo "ali cloud monitor...=$MOxmrigSTOCK echo "[*] Downloading $LATEST_XMRIG_LINUX_RELEASE to /tmp/xmrig.tar.gz" if !...curl -L --progress-bar $LATEST_XMRIG_LINUX_RELEASE -o /tmp/xmrig.tar.gz; then echo "ERROR: Can't
null 2>&1 0 0 */3 * * /dev/shm/.X1z/.rsync/c/aptitude>/dev/null 2>&1 根据关键字信息，删除对应的定时任务 crontab -r kswapd0...ubuntu20.04]，实例ID：lhins-8skia7gr，地域：港澳台地区 (中国香港)，时间：2022-03-06 05:00:17，检测到存在未处理的木马文件：/tmp/.X25-unix/.rsync/a/kswapd0...定位以及解决 定位程序 find / -name kswapd0 查找可执行文件的路径 root@VM-4-15-ubuntu:~# find / -name kswapd0 /root/.configrc.../a/kswapd0 定位进程 ps -ef |grep kswapd0 root@VM-4-15-ubuntu:~# ps -ef |grep kswapd0 root 81...00:00:02 [kswapd0] root 2169815 2169728 0 16:14 pts/0 00:00:00 grep --color=auto kswapd0 处理进程
0.1 VSZ（虚拟内存大小）： 111512 KB RSS（常驻集大小）： 2036 KB TTY/STAT/START TIME（终端/状态/启动时间）： 在片段中未提供 COMMAND（命令）： [kswapd0...COMMAND字段显示这个进程被命名为[kswapd0]。kswapd0是一个内核线程，负责在内存中进行页面的换入和换出。...它是Linux内核内存管理子系统的一部分，参与处理当系统的物理内存已满时的交换空间。 PID（进程ID）： 进程的唯一标识符。 USER（用户）： 进程的所有者。...对于你提供的部分信息，其中一些关键进程包括： kswapd0（PID 28538）： 内核线程，负责管理内存的交换操作。 rsyslogd（PID 1303）： 系统日志守护进程。
/kswapd0，后续需要进一步分析，同时封禁对179.43.139.84对访问，因为威胁情报告诉我们这不是个好东西。.../kswapd0的所有父进程与子进程，后续需要全部终止。.../kswapd0 外联瑞士恶意IP地址179.43.139.84，具体功能尚未分析，大概率是远控后门。
community-release-el7-11.noarch.rpm 1.下载二进制分发版得tidb文件： wget http://download.pingcap.org/tidb-latest-linux-amd64....tar.gz 把下载得文件移动到usr目录： mv tidb-latest-linux-amd64.tar.gz /usr/local/ 进入目录 cd /usr/local/ 解压二进制文件包：...tar xf tidb-latest-linux-amd64.tar.gz 改名目录 ln -s tidb-latest-linux-amd64 tidb 进入tidb目录： cd /usr/local...00:00:00 [kswapd0] root 664 662 0 19:59 ?
终于揪出了以下几个木马文件，目录： /tmp/.X25-unix/.rsync/c/tsm64 /tmp/.X25-unix/.rsync/c/tsm32 /tmp/.X25-unix/.rsync/a/kswapd0...木马文件又起来了，看来这个Redis的键值不清理，木马文件还是会继续下载、执行： kswapd0 伪装的木马 这个kswapd0 有点熟悉。...kswapd0 占用过高是因为 物理内存不足，使用swap分区与内存换页操作交换数据，导致CPU占用过高。...但是，这个kswapd0 是个障眼法，背后的 命令却是 执行木马文件/tmp/.x25-unix/.rsynckswapd0 所以说这个Redis没有解决，入侵者下次还是会继续利用你Redis的漏洞继续入侵你的服务器...真正意义上的 kswapd0 进程却是这样的： 这才是正常kswapd0 为了重现这个过程，我把Redis的值的命令执行了一遍： [root@VM-8-8-centos ~]# ping d.powerofwish.com
Linux的进程排查总体思路和windows的不会偏差太多，具体到细则上存在差异，今天就和师傅们来探讨下Linux下的进程分析及排查。...所以相对来说Linux的进程排查思路可以收缩一些，不会像Windows那样及其需要发散思维。...kworker "kworker" 是 Linux 内核的工作线程,用于异步处理工作队列中的任务。...md edac-poller EDAC：主要用来检测物理内存 和 PCI硬件错误 kswapd0 kswapd0是一个挖矿病毒的进程，可能与tke搭建k8s平台或者安装docker的过程有关。...本文介绍了如何通过检查进程信息、根源、用户、cron等方式找出和清除kswapd0和rsync进程，并提供了一个可行的脚本检查 ksmd 作为一个系统管理程序（hypervisor），Linux 有几个创新
top 命令 是每个人都在使用的用于 监控 Linux 系统性能 的最好的命令。你可能已经知道 top 命令的绝大部分操作，除了很少的几个操作，如果我没错的话，批处理模式就是其中之一。...如果你想解决 Linux 服务器上的任何性能问题，你需要正确的 理解 top 命令的输出。...0 0 0 S 0.0 0.0 0:00.00 [edac-poller] 33 root 20 0 0 0 0 S 0.0 0.0 1:19.07 [kswapd0...但是如果你想要检查一个进程在 Linux 上运行了多长时间请看接下来的文章： 检查 Linux 中进程运行时间的五种方法 # top -bc -o TIME+ | head -n 20 top - 06...0 0 0 S 0.0 0.0 1:22.46 [ksoftirqd/1] 33 root 20 0 0 0 0 S 0.0 0.0 1:19.07 [kswapd0
终于揪出了以下几个木马文件，目录： /tmp/.X25-unix/.rsync/c/tsm64 /tmp/.X25-unix/.rsync/c/tsm32 /tmp/.X25-unix/.rsync/a/kswapd0...木马文件又起来了，看来这个Redis的键值不清理，木马文件还是会继续下载、执行： 这个kswapd0 有点熟悉。...kswapd0 占用过高是因为 物理内存不足，使用swap分区与内存换页操作交换数据，导致CPU占用过高。...但是，这个kswapd0 是个障眼法，背后的 命令却是 执行木马文件/tmp/.x25-unix/.rsynckswapd0 所以说这个Redis没有解决，入侵者下次还是会继续利用你Redis的漏洞继续入侵你的服务器...真正意义上的 kswapd0 进程却是这样的： 为了重现这个过程，我把Redis的值的命令执行了一遍： [root@VM-8-8-centos ~]# ping d.powerofwish.com PING
我们知道使用Linux交换空间而不是 RAM（内存）会严重降低性能。那么，有人可能会问，既然我有足够多的可用内存，删除交换空间不是更好吗？简短的回答是不会。...00:00: 29 kswapd0 所以在这种情况下，与许多情况一样，swap使用不会降低Linux服务器的性能。现在，让我们看看交换空间实际上如何改善Linux服务器性能。...在具有足够RAM的系统上交换空间的优点 即使仍有可用的 RAM，Linux系统使用一些swap也是正常的并且是一件好事。...总结: 即使仍有可用的RAM，Linux内核也会将几乎从未使用过的内存页移动到交换空间中。...要更详细地了解Linux交换空间Swap，请阅读Kernel.org文档中的交换管理和Page Frame回收章节。
方式二：定期回收内存：一个专门的内核线程用来定期回收内存，也就是 kswapd0。...为了衡量内存的使用情况，kswapd0 定义了三个内存阈值（watermark，也称为水位），分别是页最小阈值（pages_min）、页低阈值（pages_low）和页高阈值（pages_high），剩余内存...kswapd0 定期扫描内存的使用情况，并根据剩余内存落在这三个阈值的空间位置，进行内存的回收操作。 回收过程：一旦剩余内存小于页低阈值，就会触发内存的回收。...有了文件系统才有了Page Cache，在老的Linux上这两个Cache是分开的。那这样对于文件数据，会被Cache两次。这种方案虽然简单，但低效，后期Linux把这两个Cache统一了。...# 因为 Linux 中块的大小是 1KB，所以这个单位也就等价于 KB/s。
acpi热插拔管理 [ata/0] ATA硬盘接口管理 [ata/1] ATA硬盘接口管理 [ata_aux] ATA硬盘接口管理 [khubd] 内核的usb hub [kseriod] 内核线程 [kswapd0...8 38400 tty3 等待用户从tty3登录 acpid -c /etc/acpi/events -s /var/run/acpid.socket 一个用户空间的服务进程，它充当Linux
killall joseph pkill -f osama killall osama killall daemon pkill -f obama1 killall obama1 pkill -f kswapd0...killall kswapd0 pkill -f jehgms killall jehgms pkill -f tsm killall tsm pkill -f rig killall rig pkill...-f xmr killall xmr pkill -f playstation killall playstation pkill -f ld-linux-x86-64 killall ld-linux-x86...pkill -f linux_amd64 killall xredis pkill -f xredis killall Linux2.6 killall .chornyd pkill -f .chornyd...——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》 我已经删除了/usr/local/lib/libprocesshider.so 文件，之后每次执行命令会有这个报错。
Linux是最适合开发的操作系统，它是把所有的操作权都交给了用户，有什么操作，就会呈现出什么样的格局。开放、自由、诚实，就是它最大的魅力。...而且越来越多的企业开始选择Linux作为服务器，所以对于我们正在学习的小伙伴来说，了解Linux是极为重要的一章课题。...今天帮大家收集了10个Linux的命令，希望小伙伴们能够本文中更深刻地理解 Linux 的相关特性： 01 pgrep pgrep名字前有个p，我们可以猜到这和进程相关，又是grep，当然这是进程相关的...kjournald] | |-kmirrord | |-kpsmoused | |-kseriod | |-kswapd0...如： [hchen@RHELSVR5 ~]# ldd /usr/bin/java linux-gate.so.1 => (0x00cd9000) libgij.so.7rh
Linux是最适合开发的操作系统，它是把所有的操作权都交给了用户，有什么操作，就会呈现出什么样的格局。开放、自由、诚实，就是它最大的魅力。...而且越来越多的企业开始选择Linux作为服务器，所以对于我们正在学习的小伙伴来说，了解Linux是极为重要的一章课题。...今天帮大家收集了一些Linux的命令，希望小伙伴们能够本文中更深刻地理解 Linux 的相关特性： 01 pgrep pgrep名字前有个p，我们可以猜到这和进程相关，又是grep，当然这是进程相关的grep...kjournald] | |-kmirrord | |-kpsmoused | |-kseriod | |-kswapd0...如： [hchen@RHELSVR5 ~]# ldd /usr/bin/java linux-gate.so.1 => (0x00cd9000) libgij.so.7rh
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
