Не пойму что съедает CPU

[RUkidinme]

Код: Выделить всё

load averages: 19.31, 18.35, 17.62
75 processes:  15 running, 42 sleeping, 12 stopped, 6 lock
CPU: 57.9% user,  0.0% nice, 42.1% system,  0.0% interrupt,  0.0% idle
Mem: 285M Active, 861M Inact, 1299M Free
Swap:

  PID USERNAME  THR PRI NICE   SIZE    RES STATE   C   TIME   WCPU COMMAND
 9659 www         1  76    0 15572K  6980K kqread  1   1:01  0.78% nginx
23703 nucliar     1 139    0   132M 16916K *vm ob  1   0:00  0.78% httpd
23701 nucliar     1 139    0   132M 16916K *vm ob  1   0:00  0.78% httpd
23685 nucliar     1 139    0   132M 16924K RUN     1   0:00  0.63% httpd
23690 nucliar     1 139    0   134M 17552K *vm ob  1   0:00  0.49% httpd
23718 nucliar     1 139    0   132M 16924K RUN     1   0:00  0.49% httpd
23746 nucliar     1 139    0   132M 16916K *vm ob  1   0:00  0.39% httpd
23737 nucliar     1 139    0   134M 17032K RUN     1   0:00  0.39% httpd
23738 mailnull    1  76    0 21344K  4876K sbwait  1   0:00  0.24% exim-4.80-0
66902 mysql      12  76    0 57412K 42464K sbwait  1  11:37  0.00% mysqld
 4140 root        1  47    0 12520K  3424K STOP    1   0:10  0.00% systat
66762 root        1  44    0 31864K  5412K select  1   0:08  0.00% ihttpd
67705 clamav      2  76    0   153M   137M select  1   0:07  0.00% clamd
67972 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68203 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68318 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68206 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68246 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
69376 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
67804 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68248 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68316 root        1  76    0   130M 13632K wait    1   0:07  0.00% httpd
68247 root        1  76    0   130M 13632K wait    1   0:06  0.00% httpd
68245 root        1  76    0   130M 13632K wait    1   0:06  0.00% httpd
68317 root        1  76    0   130M 13632K wait    1   0:06  0.00% httpd
 9632 root        4  44    0 85912K 15696K nanslp  1   0:04  0.00% ispmgr
67720 clamav      1  76    0 15644K  2552K pause   1   0:02  0.00% freshclam
55734 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
55612 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
55710 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
55538 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
45903 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
55613 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
55711 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
96353 root        1  76    0 38104K  4420K select  1   0:01  0.00% sshd
55712 root        1  76    0   130M 13724K wait    1   0:01  0.00% httpd
25322 root        1  76    0  9372K  2036K STOP    1   0:00  0.00% top
54756 root        1  44    0  9372K  2100K STOP    1   0:00  0.00% top
67790 root        1  76    0   130M 13616K select  1   0:00  0.00% httpd
67763 root        1  76    0  6872K  1524K kqread  1   0:00  0.00% dovecot
84559 root        1  44    0  9372K  1924K STOP    1   0:00  0.00% top
66758 root        1  76    0 18684K  3576K select  1   0:00  0.00% proftpd
71485 root        1  76    0  9372K  1920K STOP    1   0:00  0.00% top
67730 mailnull    1  76    0 21344K  4180K select  1   0:00  0.00% exim-4.80-0
67819 root        1  76    0  7976K  1436K nanslp  1   0:00  0.00% cron
66646 bind        4  44    0 22320K 13244K kqread  1   0:00  0.00% named
23779 nucliar     1 139    0   132M 16012K RUN     1   0:00  0.00% httpd
23762 nucliar     1 139    0   134M 17084K RUN     1   0:00  0.00% httpd
23806 nucliar     1 139    0   132M 15936K RUN     1   0:00  0.00% httpd
67769 root        1  44    0  9080K  1584K kqread  1   0:00  0.00% dovecot-auth
23761 nucliar     1 139    0   134M 16796K RUN     1   0:00  0.00% httpd
98195 root        1  44    0 10348K  2600K pause   1   0:00  0.00% csh

Вот что выдает top, процессы почти ничего не съедают а CPU: 57.9% user, 42.1% system. Чем это может быть спровоцировано?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[ChihPih]

Скрипты поди пашут во всю... Чтоб убедиться методом исключения попробуйте найти, первым отключайте апач и смотрите че поменяется.
Может трафика много, сетевка нагружает проц. Че за железо то?

[RUkidinme]

Virtual CPU 1800Mhz, 1584Mb memory, 24000Mb disk - Спокойно тянуло в 6 раз больше посетителей чем за последнее время
А вот с трафом вы угадали:
скриншот
и откуда так много трафа может взяться?

[RUkidinme]

Закрыл 80-й порт, CPU сразу в ноль, начит соединениями с сервером меня давят? Только вот в логах сайтов не вижу подозрительных соединений вообще, обычный пользователи с нормальным интервалом...

[rayder]

top -S
посмотрите что он показывает

[RUkidinme]

Код: Выделить всё

load averages: 17.57, 18.78, 18.43
62 processes:  21 running, 41 sleeping
CPU: 48.3% user,  0.0% nice, 45.8% system,  0.0% interrupt,  6.0% idle
Mem: 281M Active, 780M Inact, 1303M Free
Swap:

  PID USERNAME  THR PRI NICE   SIZE    RES STATE   C   TIME   WCPU COMMAND
39996 nucliar     1  76    0   130M 14352K RUN    13   0:00  1.56% httpd
73629 www         1 139    0 15572K  6548K RUN    13   1:06  0.63% nginx
40701 nucliar     1 139    0   134M 17160K RUN    13   0:00  0.24% httpd
40700 nucliar     1 139    0   134M 17212K RUN    13   0:00  0.24% httpd
82963 mysql       9 139    0 62020K 44208K RUN    13  42:43  0.10% mysqld
40699 nucliar     1 139    0   134M 17212K RUN    13   0:00  0.10% httpd
40676 nucliar     1 139    0   134M 16968K RUN    13   0:00  0.10% httpd
40732 nucliar     1  76    0   132M 15984K sbwait 13   0:00  0.10% httpd
12615 root        1  76    0   130M 13776K wait   13   0:10  0.00% httpd
83337 clamav      1  76    0 15644K  2560K pause  13   0:08  0.00% freshclam
 4317 root        1  76    0   130M 13776K wait   13   0:07  0.00% httpd
40817 root        1  76    0   130M 13776K wait   13   0:07  0.00% httpd
 9921 root        1  76    0   130M 13776K wait   13   0:06  0.00% httpd
16738 root        1  76    0   130M 13776K wait   13   0:05  0.00% httpd
49351 root        1  76    0   130M 13776K wait   13   0:05  0.00% httpd
83309 clamav      2  76    0   153M   137M select 13   0:05  0.00% clamd
 8571 root        1  76    0   130M 13776K wait   13   0:05  0.00% httpd
84374 root        1  76    0   130M 13776K wait   13   0:05  0.00% httpd
74744 root        1  76    0   130M 13776K wait   13   0:05  0.00% httpd
89820 root        1  76    0   130M 13776K wait   13   0:03  0.00% httpd
54350 root        1  76    0   130M 13776K wait   13   0:03  0.00% httpd
91161 root        4  76    0 89128K 17716K nanslp 13   0:03  0.00% ispmgr
64867 root        1  76    0   130M 13776K wait   13   0:02  0.00% httpd
 7431 root        1  76    0   130M 13776K wait   13   0:02  0.00% httpd
29925 root        1  76    0   130M 13776K wait   13   0:02  0.00% httpd
83532 root        1  76    0   130M 13744K select 13   0:02  0.00% httpd
33446 root        1  76    0   130M 13776K wait   13   0:02  0.00% httpd
57046 root        1  76    0   130M 13776K wait   13   0:01  0.00% httpd
55468 root        1  76    0   130M 13776K wait   13   0:01  0.00% httpd
56117 root        1  76    0   130M 13776K wait   13   0:01  0.00% httpd
84305 root        1  76    0   130M 13776K wait   13   0:01  0.00% httpd
83504 root        1  76    0  6872K  1592K kqread 13   0:01  0.00% dovecot
83374 mailnull    1  76    0 21344K  4372K select 13   0:01  0.00% exim-4.80-0
82522 root        1  76    0 31864K  5312K select 13   0:01  0.00% ihttpd
82506 root        1  76    0 18684K  3748K select 13   0:00  0.00% proftpd
83552 root        1  76    0  7976K  1520K nanslp 13   0:00  0.00% cron
19658 root        1  76    0   130M 13776K wait   13   0:00  0.00% httpd
83506 root        1  76    0  9080K  1648K kqread 13   0:00  0.00% dovecot-auth
81586 bind        4  44    0 22320K 13348K kqread 13   0:00  0.00% named
81570 root        1  76    0  6920K  1420K select 13   0:00  0.00% syslogd
82598 root        1  76    0 15572K  4996K pause  13   0:00  0.00% nginx
36253 root        1  76    0 38104K  4460K select 13   0:00  0.00% sshd
38568 root        1  76    0 10348K  2588K pause  13   0:00  0.00% csh
40766 nucliar     1  76    0   132M 15984K sbwait 13   0:00  0.00% httpd
40771 nucliar     1  76    0   132M 16376K RUN    13   0:00  0.00% httpd
82645 mysql       1  76    0  8344K  1652K wait   13   0:00  0.00% sh
39280 root        1 139    0  9372K  2044K CPU13  13   0:00  0.00% top
83544 root        1  76    0 26172K  4116K select 13   0:00  0.00% sshd
40777 nucliar     1 139    0   130M 14156K RUN    13   0:00  0.00% httpd
83628 dovecot     1  76    0 10916K  3016K kqread 13   0:00  0.00% imap-login
40779 nucliar     1 139    0   130M 14132K RUN    13   0:00  0.00% httpd
83627 dovecot     1  76    0 10920K  3016K kqread 13   0:00  0.00% pop3-login
40787 nucliar     1 139    0   130M 13964K RUN    13   0:00  0.00% httpd

[ChihPih]

так если вы говорите, что заблочили 80 порт и проблема ушла, то значит надо смотреть логи какие запросы идут (какой пользователь, какой скрипт...), сколько и т.д.
И еще на счет генерации трафа - может сетевка глючит, покажите

Код: Выделить всё

netstat -i

[RUkidinme]

так если вы говорите, что заблочили 80 порт и проблема ушла, то значит надо смотреть логи какие запросы идут (какой пользователь, какой скрипт...), сколько и т.д.

где их посмотреть, это httpd-logs?

netstat -i

выводит:
netstat: kvm not available: /dev/mem: No such file or directory
ifnet: symbol not defined
но netstat без -i работает

[ChihPih]

Где логи смотреть? зависит от конфигурации.. В стандартной:
/var/log/http-*.log

[RUkidinme]

нет, у меня не там.
Нашел проблему, таки ddos. Не повезло, я смотрел логи сайтов, но не всех, а тот сайт который ддосили не посмотрел ) там был ужас, теперь сервер дышит спокойно, спасибо! )