河南 刘景云

单位的一台Web 服务器出现运行缓慢的现象，无法为外部的客户提供服务。该机安装的是CentOS 6.X 系统，后台使用的Redis 数据库，一直以来运行的都很正常。

为了排查问题，笔者随手在一台客户机上执行了“redis -h x.x.x.x -p 6308”命令，来检测是否可以访问后台的Redis 数据库。其中的“x.x.x.x”为该服务器的IP，“6308”为Redis 开放的端口。按照正常情况，是需要输入认证密码的，但是该机却没有提示任何认证提示，直接连接成功。这一反常情况引起了笔者的注意。

寻觅踪迹，发现幕后“黑手”

笔者登录到服务器上，执行“top”命令，在返回信息中的“Load average”栏中显示系统负载情况，可以看出在1分钟，5 分钟以及15 分钟等时间段中，系统平均负载都比较高，这说明系统运行压力很大。因为该机硬件配置较高，应对正常的工作应该没有任何问题的，肯定有来历不明的程序大量占用了系统资源。果然，在进程列表中发现了名为“nginx0”的可疑进程，其CPU 占用率极高，是以Root身份运行的。

但是该机并没有安装Nginx服务，这明显存在问题，肯定是该不法程序过度占用CPU 资源，才造成服务器运行缓慢的问题。

经过检测，发现该机网络带宽占用率很高，很明显该不法程序在频繁和外界进行通讯，产生了很大的流量的缘故。在进程列表中，显示该进程的PID 为21039，据此可以追踪到其实际的藏身地。执行“ls -al/proc/21039/exe”命令，显示其存储路径为“/var/data/nginx0”。

既然找到了不法程序，就将其清除，执行“kill -9 21039”命令，将该进程关闭。

执行“rm -rf/var/data/nginx0”命令，将该非法程序删除。本以为这样就万事大吉了，奇怪的是，当经过几分钟后，再次执行“top”命令，发现该非法进程有出现了。……