Странные процессы exim4/sendmail

155

Dimanych

16 мая 2011, 12:59

3490

Сервер стал виснуть, LA около 2000, но сайты открываются, в шеле 2000 процессов вида:

root 32356 0.0 0.0 28628 1004 ? S 13:38 0:00 /USR/SBIN/CRON
104 32370 0.0 0.0 83772 3672 ? D 16:18 0:00 /usr/sbin/exim4 -bd -q30m
104 32403 0.0 0.0 81312 3896 ? D 13:38 0:00 /usr/sbin/sendmail -i -FCronDaemon -oem gris
104 32415 0.0 0.0 83772 3676 ? D 15:49 0:00 /usr/sbin/exim4 -bd -q30m
root 32428 0.0 0.0 28628 1004 ? S 16:19 0:00 /USR/SBIN/CRON
root 32432 0.0 0.0 28628 1004 ? S 16:19 0:00 /USR/SBIN/CRON
root 32438 0.0 0.0 28628 1004 ? S 16:19 0:00 /USR/SBIN/CRON
104 32449 0.0 0.0 81304 3812 ? D 16:19 0:00 /usr/sbin/sendmail -i -FCronDaemon -oem max1
104 32453 0.0 0.0 81304 3812 ? D 16:19 0:00 /usr/sbin/sendmail -i -FCronDaemon -oem gris
104 32455 0.0 0.0 81308 3812 ? D 16:19 0:00 /usr/sbin/sendmail -i -FCronDaemon -oem max1
104 32459 0.0 0.0 83772 3704 ? D 14:19 0:00 /usr/sbin/exim4 -bd -q30m
104 32498 0.0 0.0 83192 5516 ? Ds 12:32 0:00 /usr/sbin/exim4 -Mc 1QLskb-00036g-KK
104 32583 0.0 0.0 83772 3680 ? D 16:19 0:00 /usr/sbin/exim4 -bd -q30m
104 32606 0.0 0.0 83772 3792 ? D 16:19 0:00 /usr/sbin/exim4 -bd -q30m
104 32632 0.0 0.0 81308 3892 ? D 15:26 0:00 /usr/sbin/exim4 -t -oem -oi -f <> -E1QLu4r-0
104 32633 0.0 0.0 81308 3880 ? D 15:26 0:00 /usr/sbin/exim4 -t -oem -oi -f <> -E1QLu3u-0
104 32634 0.0 0.0 81312 3896 ? D 15:26 0:00 /usr/sbin/exim4 -t -oem -oi -f <> -E1QLtU8-0
104 32635 0.0 0.0 83912 3816 ? D 15:26 0:00 /usr/sbin/exim4 -bd -q30m

exim4 основной процесс остановил, остальные висят (

Команда killall -9 exim4 sendmail процессы не убивает, все процессы продалжают висеть

kill -9 PID (тоже не работает)

Кто нибудь встречался с таким? Что это за бомба?

Написал не мало шедевров ;)

L

132

Logger

16 мая 2011, 13:17

#1

стопани cron сначала. и посмотри загрузку

если debian - смотри что за задания в кроне

/var/spool/cron/crontabs/

как то мне поставили в крон таким образом однажды рассылку спама по списку емейлов, пришлось попотеть

Контакты-icq 535609 ()

Majento запускает новый инструмент Google начал просить пользователей Яндекс усилил технологию «Спамооборона»

26

hostmaster

16 мая 2011, 13:17

#2

у вас похоже почтовая очередь переполнена,

-bd -q30m это обслуживание входящего соединения

-oem это exim отправляет ответ на ошибку (bounce)

-Mc попытка доставить сообщение

смотрите внимательно в лог.

sendmail -i -FCronDaemon так же может говорить о том что у вас в cron-е запускается задание которое генерит поток писем

I'm lost without tcpdump

Яндекс обновил мобильное приложение Почтовый сервис Яндекса ежедневно Gmail предупредит о письмах,

485

Romka_Kharkov

16 мая 2011, 13:45

#3

Больше интересно почему там UID 104, и почему он не преобразован в username.

На тему убить процессы:

kill -9 `ps auxw|grep mail|awk {'print $2'}`

Покажите сюда вывод "exim -bpc", и если там очень большая цифра, то смотрите "exim -bp", потом смотрите каких писем там туча и путем "exim -Mvh <ID>" смотрите хидеры этих писем, в случае если это входящий спам на ваши домены - вы это поймете из направления движения почты, а если исходящий, то поймете от кого (при соответствующих настройках всех приложений которые работают с почтой). Вполне может быть, к примеру от вас шлют спам через какой-то php скрипт, так вот при настройках по умолчанию, вы увидите только что шлет почту юзер apache (или www), а вот кто конкретно и через какой скрипт... это всякие модули и прочее... Еще можно извращаться путем подмены бинарика exim-a на самописный врапер, и там проверять всякие окружения, но чистого результата это не дает :D

Если что еще, пишите....

Есть около 15.000 ipv4 !!! (http://onyx.net.ua/price.php#ipv4) Качественный хостинг с 2005 года - лучшее клиентам! (http://onyx.net.ua/)

Яндекс.Почта 360 избавит от Михаил Сливинский об ограничениях Секреты индексации динамических страниц

D

155

Dimanych

16 мая 2011, 13:51

#4

Спустя минут 10 процессы отвалились сами, включил опять exim, и наблюдаю как медленно, увеличивается рост подобных процессов.

Крон конечно используют некоторые пользователи, но это не юзерский крон, вообще даже не пойму почему имя программы большими буквами: /USR/SBIN/CRON

strace одного такого процесса говорит wait4(-1,

lsof

cron 32627 root cwd DIR 9,2 4096 37978484 /var/spool/cron
cron 32627 root rtd DIR 9,2 4096 2 /
cron 32627 root txt REG 9,2 38240 24811904 /usr/sbin/cron
cron 32627 root mem REG 9,2 15064 18397367 /lib/security/pam_limits.so
cron 32627 root mem REG 9,2 12144 18397389 /lib/security/pam_env.so
cron 32627 root mem REG 9,2 39112 18381738 /lib/libcrypt-2.7.so
cron 32627 root mem REG 9,2 52952 18397392 /lib/security/pam_unix.so
cron 32627 root mem REG 9,2 47520 18381760 /lib/libnss_files-2.7.so
cron 32627 root mem REG 9,2 43472 18381765 /lib/libnss_nis-2.7.so
cron 32627 root mem REG 9,2 88968 18381749 /lib/libnsl-2.7.so
cron 32627 root mem REG 9,2 31536 18381754 /lib/libnss_compat-2.7.so
cron 32627 root mem REG 9,2 14616 18381740 /lib/libdl-2.7.so
cron 32627 root mem REG 9,2 1375536 18380697 /lib/libc-2.7.so
cron 32627 root mem REG 9,2 109464 18381785 /lib/libselinux.so.1
cron 32627 root mem REG 9,2 46256 18381772 /lib/libpam.so.0.81.12
cron 32627 root mem REG 9,2 119288 18380668 /lib/ld-2.7.so
cron 32627 root mem REG 9,2 25700 24804343 /usr/lib/gconv/gconv-modules.cache
cron 32627 root mem REG 9,2 1529136 24803795 /usr/lib/locale/locale-archive
cron 32627 root 0r CHR 1,3 602 /dev/null
cron 32627 root 1w CHR 1,3 602 /dev/null
cron 32627 root 2w CHR 1,3 602 /dev/null
cron 32627 root 5r FIFO 0,6 2545752 pipe
cron 32627 root 7u unix 0xffff8102111d33c0 2545754 socket

Изучая подобный этому процесс

104 32639 0.0 0.0 81308 3884 ? D 17:33 0:00 /usr/sbin/sendmail -i -FCronDaemon -oem max1889

strace - сильные тормаза на строке rename

Process 14648 attached - interrupt to quit
fchown(4, 104, 106) = 0
fchmod(4, 0640) = 0
fcntl(4, F_GETFL) = 0x8002 (flags O_RDWR|O_LARGEFILE)
fstat(4, {st_mode=S_IFREG|0640, st_size=0, ...}) = 0
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7fdb45357000
lseek(4, 0, SEEK_CUR) = 0
write(4, "1QLyAP-0003oG-Rs-H\nmax1889 1010 1"..., 324) = 324
fstat(4, {st_mode=S_IFREG|0640, st_size=324, ...}) = 0
write(4, "188P Received: from max1889 by s2"..., 705) = 705
fsync(4) = 0
fstat(4, {st_mode=S_IFREG|0640, st_size=1029, ...}) = 0
close(4) = 0
munmap(0x7fdb45357000, 4096) = 0
rename("/var/spool/exim4/input//hdr.14648", "/var/spool/exim4/input//1QLyAP-0003oG-Rs-H") = 0
open("/var/spool/exim4/input//.", O_RDONLY) = 4
fsync(4) = 0
close(4) = 0
fstat(3, {st_mode=S_IFREG|0640, st_size=44, ...}) = 0
open("/var/spool/exim4/msglog//1QLyAP-0003oG-Rs", O_WRONLY|O_CREAT|O_APPEND, 0640) = 4
fcntl(4, F_GETFL) = 0x8401 (flags O_WRONLY|O_APPEND|O_LARGEFILE)
fstat(4, {st_mode=S_IFREG|0640, st_size=0, ...}) = 0
mmap(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0x7fdb45357000
lseek(4, 0, SEEK_CUR) = 0
stat("/etc/localtime", {st_mode=S_IFREG|0644, st_size=2194, ...}) = 0
write(4, "2011-05-16 17:50:31 Received from"..., 81) = 81
close(4) = 0
munmap(0x7fdb45357000, 4096) = 0
stat("/etc/localtime", {st_mode=S_IFREG|0644, st_size=2194, ...}) = 0
open("/var/log/exim4/mainlog", O_WRONLY|O_APPEND) = 4
fcntl(4, F_GETFD) = 0
fcntl(4, F_SETFD, FD_CLOEXEC) = 0
fstat(4, {st_mode=S_IFREG|0640, st_size=99430570, ...}) = 0
write(4, "2011-05-16 17:50:31 1QLyAP-0003oG"..., 87) = 87
close(3) = 0
munmap(0x7fdb45358000, 4096) = 0
rt_sigaction(SIGTERM, {SIG_DFL}, {SIG_IGN}, 8) = 0
rt_sigaction(SIGINT, {SIG_DFL}, {SIG_IGN}, 8) = 0
clone(child_stack=0, flags=CLONE_CHILD_CLEARTID|CLONE_CHILD_SETTID|SIGCHLD, child_tidptr=0x7fdb45245790) = 16328
exit_group(0) = ?
Process 14648 detached

Видимо тормаза от того что в папке много файлов:

dir /var/spool/exim4/input/ -l|wc -l

41062

Управление ставками в контекстной Исследование Aori: Как менялась CTR в поисковой выдаче

485

Romka_Kharkov

16 мая 2011, 13:53

#5

Dimanych, strace тут ни к чему :D ваша проблема и так понятна, переполнение очереди, надо выяснять что её наполняет, тут strace не совсем та утилита которая нужна.

Так же рекомендую вам посмотреть тела некоторых сообщений, которые идентичны в "exim -bp", так вы можете более четко понять о чем вам столь часто пытается рассказать cron если таки дело в нем, но я сомневаюсь

AdSense: как избежать нарушений Google AdSense задерживает выплаты Пингвин 2.0: Взгляд Google

D

155

Dimanych

16 мая 2011, 14:04

#6

Да. Крон думаю совсем не причём, крон походу связан с отправкой письма от sendmail.

exim -bpc

19565

все замороженные вида

55h 1.5K 1QL8zD-00071w-Q0 <> *** frozen ***

user@server.ru

150P Received: from Debian-exim by server.ru with local (Exim 4.69)
id 1QL8zD-00071w-Q0
for user@server.ru; Sat, 14 May 2011 11:10:03 +0400
044 X-Failed-Recipients: user@server.ru
029 Auto-Submitted: auto-replied
058F From: Mail Delivery System <Mailer-Daemon@server.ru>
027T To: user@server.ru
059 Subject: Mail delivery failed: returning message to sender
047I Message-Id: <E1QL8zD-00071w-Q0@server.ru>
038 Date: Sat, 14 May 2011 11:10:03 +0400

ещё такие есть

188P Received: from grisa94 by server.ru with local (Exim 4.69)
(envelope-from <grisa94@server.ru>)
id 1QLqgr-0003DP-CI
for grisa94@server.ru; Mon, 16 May 2011 10:06:06 +0400
025* From: root (Cron Daemon)
040F From: root@server.ru (Cron Daemon)
012* To: grisa94
027T To: grisa94@server.ru
099 Subject: Cron <grisa94@s2> /usr/local/bin/php -n /home/grisa94/monitoring/lgsl_files/lgsl_cron.php
040 Content-Type: text/plain; charset=UTF-8
028 X-Cron-Env: <SHELL=/bin/sh>
034 X-Cron-Env: <HOME=/home/grisa94/>
033 X-Cron-Env: <PATH=/usr/bin:/bin>
030 X-Cron-Env: <LOGNAME=grisa94>
047I Message-Id: <E1QLqgr-0003DP-CI@server.ru>
038 Date: Mon, 16 May 2011 09:50:01 +0400

вообщем письма не дойду никак на локальные ящики вида user@server.ru

это проблема конфига exim?

Яндекс.Почта для кириллических доменов В сети активизировались мошенники Google обновил форму для

485

Romka_Kharkov

16 мая 2011, 14:38

#7

"crontab -u grisa94 -l" в студию

D

155

Dimanych

16 мая 2011, 14:46

#8

Я непойму, крон результат запуска скрипта отправляет локальному юзеру чтоли?

Обычный скрипт мониторинга, тело подобного письма:

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

grisa94@server.ru
Unrouteable address

------ This is a copy of the message, including all the headers. ------

Return-path: <grisa94@server.ru>
Received: from grisa94 by server.ru with local (Exim 4.69)
(envelope-from <grisa94@server.ru>)
id 1QLp1J-00016F-29
for grisa94@server.ru; Mon, 16 May 2011 08:03:01 +0400
From: root@server.ru (Cron Daemon)
To: grisa94@server.ru
Subject: Cron <grisa94@server.ru> /usr/local/bin/php -n /home/grisa94/monitoring/lgsl_files/lgsl_cron.php
Content-Type: text/plain; charset=UTF-8
X-Cron-Env: <SHELL=/bin/sh>
X-Cron-Env: <HOME=/home/grisa94/>
X-Cron-Env: <PATH=/usr/bin:/bin>
X-Cron-Env: <LOGNAME=grisa94>
Message-Id: <E1QLp1J-00016F-29@server.ru>
Date: Mon, 16 May 2011 08:03:01 +0400

<pre>STARTING ( TIME LIMIT: 3600 )

0.01 :halflife :213.231.5.218 :27015 :27015 :0
0.51 :halflife :188.127.246.116 :27051 :27051 :0

FINISHED</pre>

А главное почему они не отсекаются если Unrouteable address

И ещё, уменьшилось

exim -bpc

16358

Яндекс.Поиск: почему находится все Google мог обновить свой Google запускает локальный поиск

485

Romka_Kharkov

16 мая 2011, 14:58

#9

Dimanych:
Я непойму, крон результат запуска скрипта отправляет локальному юзеру чтоли?

А вы что думали crontab системный ваши виртуальные домены различать умеет?:)

Конечно локальному отправляет, куда же еще. Кстати в настройках крона можно кажется указать куда слать уведомления, но если это у вас сервер с клиентами ... будет проблематично править все кроны :)

Romka_Kharkov добавил 16.05.2011 в 19:04

exim -bpc < сума писем в очереди, видимо притухает...

Что за странные записи Рассылка спама (заблокировали хостинг) Масса сообщений на почту.

D

155

Dimanych

16 мая 2011, 15:27

#10

Да. кроны править не решение, а отключить уведомления полностью тоже нельзя.

Вообщем получается что письма идут локальным юзерам и не доставляются. (unroatable)

Почему они всё таки замораживаюстя и отправляются повторно? Нужно обязательно получать локальные письма в ящики?

У меня сейчас нет обработки локальных писев в эксиме, т.е. если ящик не задан в файлике одном то то секция роутеров не пускает письма.

virtual_user:
debug_print = "R: virtual_user for $local_part@$domain"
driver = accept
condition = ${perl{virtual_user}}
transport = maildir_home

Яндекс обновил мобильное приложение Яндекс.Почта для кириллических доменов Facebook закрывает свой почтовый

В 2023 году Google заблокировал более 170 млн фальшивых отзывов на Картах

Тренды маркетинга в 2024 году: мобильные продажи, углубленная аналитика и ИИ