O comando “find” está procurando por mysqli.so por 9.729 horas

Question

Eu tenho procurado neste site e em muitos outros, mas tenho um processo que está sendo executado por 9.729 horas a 100% da CPU em todos os momentos. De acordo com o htop, este é o comando que está sendo executado por "root" no meu servidor web Debian Jessie:

find ./ -name mysqli.so -print

Não consigo descobrir o que está causando o comando, e emitir um "kill -9" para o PID não tem efeito.

Tudo o mais parece funcionar como esperado - como evidenciado pelo fato de eu nem perceber que isso foi um problema por tanto tempo. Mas, como está ocupado todo o núcleo da CPU, eu gostaria de resolver isso.

A única coisa que eu não tentei é reiniciar o servidor - o que é impraticável porque este é um servidor de produção.

    

Answer 1

Primeiro, tente enviar SIGSTOP para realmente interromper sua execução (isso pode ser capturado e ignorado pelo comando, mas vale a pena tentar).

Em seguida, isso parece suspeito. Como qualquer processo é livre para alterar o texto que é mostrado na lista de processos (alguns programas como MTAs fazem isso o tempo todo para propósitos legítimos), então pode ser que sua máquina tenha sido p0wned e que O proces não é realmente find , mas algo a mais (como um crypto miner).

Existem várias maneiras de tentar inspecionar o que realmente é.

1. Tente ver o que é executável:

    # stat /proc/$pid/exe
   

   Deve mostrar o que o executável binário está executando nesse processo.

2. A observação da atividade do sistema de arquivos desse processo pode ajudar:

   # watch vdir /proc/$pid/fd
   

   Se realmente aparecer como abrir e fechar muitos arquivos, provavelmente é realmente find .

3. O processo não deve ter nenhum sockets aberto (visível na mesma /proc/$pid/fd hierarquia.

4. Você pode strace e ver se de fato repetidamente abre e fecha diretórios - execute

   # strace -p $pid
   

   e observe os opendir e fdopendir syscalls.

5. Confira debsums .