系统中的异常进程vim,占用cpu 99%

veryi.com

90 processes: 87 sleeping, 3 running, 0 zombie, 0 stopped\r\nCPU0 states:   1.1% user   0.2% system    0.0% nice   0.0% iowait  98.0% idle\r\nCPU1 states:   8.3% user  91.0% system    0.0% nice   0.0% iowait   0.0% idle\r\nMem:  1033024k av,  955436k used,   77588k free,       0k shrd,  203796k buff\r\n       308160k active,             314292k inactive\r\nSwap: 1640196k av,     600k used, 1639596k free                  418064k cached\r\n\r\n  PID USER     PRI  NI  SIZE  RSS SHARE STAT %CPU %MEM   TIME CPU COMMAND\r\n20327 root      17   0  2944 2944  2012 R    99.9  0.2  1176m   1 vim\r\n  691 root       8   0  6496 6336  6240 S     0.8  0.6   1:09   0 httpd\r\n\r\n\r\n\r\n\r\n20327 ?        R    1129:15 vim + httpd.conf\r\n\r\n0     0 20327     1  15   0  8368 2944 -      R    ?        1130:00 vim + httpd.conf\r\n\r\nroot     20327     1 94 Jul04 ?        18:50:23 vim + httpd.conf\r\n\r\n是不是被黑了，用的什么攻击手段？\r\n\r\nuname -a\r\nLinux www.veryi.com 2.4.31 #1 SMP Wed Jun 15 20:27:37 CST 2005 i686 i686 i386 GNU/Linux

ayazero

vim 只是个文本编辑器

veryi.com

可我没执行过 vi，就是执行了，我退出也会关闭的。\r\n可这个进程一直在

veryi.com

# ps -alx |grep vim\r\nF   UID   PID  PPID PRI  NI   VSZ  RSS WCHAN  STAT TTY        TIME COMMAND\r\n0     0 20327     1  19   0  8368 2944 -      R    ?        2522:37 vim + httpd.conf\r\n\r\n# ps -ef |grep vim\r\nUID        PID  PPID  C STIME TTY          TIME CMD\r\nroot     20327     1 97 Jul04 ?        1-18:03:07 vim + httpd.conf

veryi.com

不是的，肯定是有人进来了。我杀掉那个进程，过几天它又出现了。\r\n\r\n但我不知是用什么方法进来的

lengi

不会吧。有点大脑的走的时候都应该把这些进程关了吧。\r\n系统的登陆日志贴出来看看。如果他这么不小心，日志也应该没有处理吧。

ayazero

http://overflow.nease.net/aya/unix_incident.txt

lxl0121

哥们，应该不是被攻击了，你看看那个进程的用户是谁，是非法创建的么？我也遇到这种情况了，我郁闷，我的是正常用户的，检查了所有安全相关问题，IP是开放IP.没问题。应该是不知哪个小子退出时候没有正常退出vim ， 不过为什么这样占用CPU我也不清楚，哪位高人给解答下。

tclwp

这个一般是用VIM打开了超大文件，比如几个G的那种\r\n可以lsof -c  vim看看它打开了什么文件，然后KILL之

tclwp

:wink: 实在不行就用strace和gdb  attach上去看看VIM到底在干什么