系统中的异常进程vim,占用cpu 99%

veryi.com

90 processes: 87 sleeping, 3 running, 0 zombie, 0 stopped
CPU0 states:   1.1% user   0.2% system    0.0% nice   0.0% iowait  98.0% idle
CPU1 states:   8.3% user  91.0% system    0.0% nice   0.0% iowait   0.0% idle
Mem:  1033024k av,  955436k used,   77588k free,       0k shrd,  203796k buff
       308160k active,             314292k inactive
Swap: 1640196k av,     600k used, 1639596k free                  418064k cached

  PID USER     PRI  NI  SIZE  RSS SHARE STAT %CPU %MEM   TIME CPU COMMAND
20327 root      17   0  2944 2944  2012 R    99.9  0.2  1176m   1 vim
  691 root       8   0  6496 6336  6240 S     0.8  0.6   1:09   0 httpd




20327 ?        R    1129:15 vim + httpd.conf

0     0 20327     1  15   0  8368 2944 -      R    ?        1130:00 vim + httpd.conf

root     20327     1 94 Jul04 ?        18:50:23 vim + httpd.conf

是不是被黑了，用的什么攻击手段？

uname -a
Linux www.veryi.com 2.4.31 #1 SMP Wed Jun 15 20:27:37 CST 2005 i686 i686 i386 GNU/Linux

ayazero

vim 只是个文本编辑器

veryi.com

可我没执行过 vi，就是执行了，我退出也会关闭的。
可这个进程一直在

lengi

内存泄露？

veryi.com

# ps -alx |grep vim
F   UID   PID  PPID PRI  NI   VSZ  RSS WCHAN  STAT TTY        TIME COMMAND
0     0 20327     1  19   0  8368 2944 -      R    ?        2522:37 vim + httpd.conf

# ps -ef |grep vim
UID        PID  PPID  C STIME TTY          TIME CMD
root     20327     1 97 Jul04 ?        1-18:03:07 vim + httpd.conf

veryi.com

不是的，肯定是有人进来了。我杀掉那个进程，过几天它又出现了。

但我不知是用什么方法进来的

lengi

不会吧。有点大脑的走的时候都应该把这些进程关了吧。
系统的登陆日志贴出来看看。如果他这么不小心，日志也应该没有处理吧。

ayazero

http://overflow.nease.net/aya/unix_incident.txt

lxl0121

哥们，应该不是被攻击了，你看看那个进程的用户是谁，是非法创建的么？我也遇到这种情况了，我郁闷，我的是正常用户的，检查了所有安全相关问题，IP是开放IP.没问题。应该是不知哪个小子退出时候没有正常退出vim ， 不过为什么这样占用CPU我也不清楚，哪位高人给解答下。

tclwp

这个一般是用VIM打开了超大文件，比如几个G的那种
可以lsof -c  vim看看它打开了什么文件，然后KILL之