forum.lissyara.su

Сеть сервачёт используется под хостинг, на нём примерно 60 сайтов , сайты на разных движках (ДЛЕ, джумала и т.д. )
переодически с него идёт флуд по UDP на разные сайты, т.е. какой то из сайтов ломанули.
как определить какой ?
при флуде определённые чилд процессы естественно грузят проц сервера на 100%, но с какого именно сайта это делают непонятно.
Как определить в каком из сайтов на серваке дыра через которую это делают ?

В случае если разным сайтам присовены разные ip можно по tspdump-у поймать нарушителя.
Возможно в случае если web сервер стартует под разными пользователя для каждого сайта, то по статистике через тотже top посмотреть кто грузит систему.

это не хакнули.
я тоже такое наблюдаю периодически - клиенты чего-то запускают под апач или php
но, у меня при потоке 400-700 мегабит исходящего - процесс жрёт почти ноль...
поэтому найти очень тяжело

чё запускают - так и не понял =(