дисковый кэш

"Злонамеренный" скрипт только для вас - для системы это обычное приложение.

Никаких особых сервисов не запущено?

Так вы это проверили или таки нет?

так зачем, его уже остановили.

Аккаунтинг не показывает причину завершения и максимум потребления памяти.

Нужно еще убедиться, что не падают приложения типа апач,mysql. Может быть в логах этих демонов что-то не так (об этом я уже писал, но, кажется, не дошло)

netwind добавил 16.12.2011 в 14:41

я бы не стал называть обычным приложением, которое запускается от рута и меняет ключи в /proc/sys

это какая-то маловероятная диверсия.

нет, всё стандартное из обычных репов, только nginx 1.0

зато будет понятно что можно исключить из возможных причин... всё дошло, в логах криминала нет...

Zaqwr, ну, например, memcached я бы не считал стандартным. а с ним прекрасно можно каким-нибудь скриптом вашу ситуацию имитировать.

какие еще процессы есть? pstree выводит довольно сжато.

Мне было неочевидно - исключили это или нет. Прямого ответа я так и не получил.

Я тоже об этом писал. Но причина выглядит чересчур уж регулярной, так что...

Ну, они там для того и есть - чтобы меняли. Вот бойцы в крон и пихают:

http://www.scottklarr.com/topic/134/linux-how-to-clear-the-cache-from-memory/

udevd --daemon

/sbin/portmap

/sbin/rpc.statd

/usr/sbin/rsyslogd -c3

/usr/sbin/acpid

/usr/sbin/sshd

/usr/sbin/postgrey --pidfile=/var/run/postgrey.pid --

/usr/sbin/exim4 -bd -q30m

/usr/sbin/irqbalance

/usr/sbin/dovecot

dovecot-auth

/sbin/mdadm --monitor --pid-file /var/run/mdadm/monit

pop3-login

imap-login

proftpd: (accepting connections)

/bin/sh /usr/bin/mysqld_safe

/usr/sbin/mysqld --basedir=/usr --datadir=/var/lib/my

nginx: master process /usr/sbin/nginx

/usr/sbin/atd

/usr/sbin/munin-node

/usr/sbin/named -u bind

/usr/bin/php5-cgi php

/usr/sbin/apache2 -k start

это всё..

прибил ispm

Zaqwr добавил 16.12.2011 в 15:50

опять сбросило

dump-acct       |v3|     2.00|     2.00|   108.00|     0|     0|  3788.00|     0.00|   18560     8278|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|   200.00|    33|    33|157376.00|     0.00|   18561    13563|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|   300.00|    33|    33|157376.00|     0.00|   18563    13563|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|  1400.00|    33|    33|157696.00|     0.00|   18536    13563|Fri Dec 16 16:44:10 2011

apache2         |v3|     0.00|     0.00|   500.00|    33|    33|157376.00|     0.00|   18565    13563|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|   600.00|    33|    33|157376.00|     0.00|   18566    13563|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|  1700.00|    33|    33|157696.00|     0.00|   18551    13563|Fri Dec 16 16:44:19 2011

apache2         |v3|    16.00|     6.00| 14703.00|    33|    33|157696.00|     0.00|   18489    13563|Fri Dec 16 16:42:10 2011

host            |v3|     0.00|     0.00|   226.00|   507|   508| 78784.00|     0.00|   18578    18331|Fri Dec 16 16:44:39 2011

apache2         |v3|     0.00|     0.00|  3300.00|    33|    33|157696.00|     0.00|   18539    13563|Fri Dec 16 16:44:11 2011

apache2         |v3|    50.00|    15.00| 39120.00|    33|    33|157760.00|     0.00|   18352    13563|Fri Dec 16 16:38:14 2011

apache2         |v3|    31.00|     7.00| 23314.00|    33|    33|157760.00|     0.00|   18432    13563|Fri Dec 16 16:40:58 2011

apache2         |v3|     0.00|     0.00|  3203.00|    33|    33|157696.00|     0.00|   18568    13563|Fri Dec 16 16:44:20 2011

apache2         |v3|     0.00|     0.00|   401.00|    33|    33|157376.00|     0.00|   18591    13563|Fri Dec 16 16:44:49 2011

apache2         |v3|     0.00|     0.00|   500.00|    33|    33|157376.00|     0.00|   18596    13563|Fri Dec 16 16:44:49 2011

apache2         |v3|     0.00|     0.00|  3004.00|    33|    33|157696.00|     0.00|   18569    13563|Fri Dec 16 16:44:27 2011

apache2         |v3|     0.00|     0.00|  1002.00|    33|    33|157696.00|     0.00|   18590    13563|Fri Dec 16 16:44:48 2011

apache2         |v3|     0.00|     0.00|  1300.00|    33|    33|157696.00|     0.00|   18598    13563|Fri Dec 16 16:44:49 2011

apache2         |v3|     0.00|     0.00|   300.00|    33|    33|157376.00|     0.00|   18600    13563|Fri Dec 16 16:45:00 2011

apache2         |v3|    57.00|    13.00| 43724.00|    33|    33|157760.00|     0.00|   18343    13563|Fri Dec 16 16:37:47 2011

exim4           |v3|     0.00|     0.00|  7508.00|   101|   103| 81536.00|     0.00|   18527    18526|Fri Dec 16 16:43:53 2011

apache2         |v3|   130.00|    40.00|109965.00|    33|    33|157760.00|     0.00|   18149    13563|Fri Dec 16 16:26:49 2011

dump-acct       |v3|     1.00|     2.00|    74.00|     0|     0|  3788.00|     0.00|   18602    17782|Fri Dec 16 16:45:08 2011

Zaqwr добавил 16.12.2011 в 15:56

кусочек топа

top - 16:46:24 up  8:23,  3 users,  load average: 9.10, 6.22, 4.22

Tasks: 228 total,   5 running, 223 sleeping,   0 stopped,   0 zombie

Cpu(s): 22.7%us,  5.6%sy,  0.0%ni, 55.2%id, 15.5%wa,  0.6%hi,  0.5%si,  0.0%st

Mem:  12330136k total,  2411476k used,  9918660k free,   519132k buffers

Swap: 11727352k total,        0k used, 11727352k free,   732216k cached



  PID USER      PR  NI  VIRT  RES  SHR S %CPU %MEM    TIME+  COMMAND                                                                                                         

12515 mysql     20   0  977m 191m 5220 S  143  1.6  74:17.24 mysqld                                                                                                          

18576 user  20   0  239m 105m 6524 R   33  0.9   0:02.34 php                                                                                                             

18269 user  20   0  231m  16m 6692 S    0  0.1   0:03.18 php                                                                                                             

18270 user  20   0  229m  14m 6696 S    0  0.1   0:03.68 php                                                                                                             

18331 user  20   0  228m  14m 6728 S    0  0.1   0:02.32 php                                                                                                             

18027 user  20   0  228m  15m 6760 S    0  0.1   0:17.94 php                                                                                                             

18594 www-data  20   0  211m 6964 1612 S    0  0.1   0:00.02 apache2                                                                                                         

18211 www-data  20   0  211m 7028 1656 S    0  0.1   0:01.36 apache2                                                                                                         

18487 www-data  20   0  211m 6988 1620 S    0  0.1   0:00.30 apache2                                                                                                         

18524 www-data  20   0  211m 7008 1648 S    0  0.1   0:00.06 apache2                                                                                                         

18544 www-data  20   0  211m 6964 1612 S    0  0.1   0:00.02 apache2                                                                                                         

18589 www-data  20   0  211m 6964 1612 S    0  0.1   0:00.00 apache2                                                                                                         

18623 www-data  20   0  211m 6960 1612 S    0  0.1   0:00.00 apache2 

Можно попробовать подключить inotify для файла /proc/sys/vm/drop_caches и смотреть, что с ним происходит.

Boris A Dolgov, думаю в него пишется 1(2,3) потом 0 и на этом всё, что туда пишет можно как-то выяснить?

Нет, увы.

Но вы хоть выясните, что кто-то туда пишет:

$ inotifywait -m /proc/sys/vm/drop_caches
Setting up watches.  
Watches established.
/proc/sys/vm/drop_caches MODIFY 
/proc/sys/vm/drop_caches OPEN 
/proc/sys/vm/drop_caches MODIFY 
/proc/sys/vm/drop_caches CLOSE_WRITE,CLOSE 

в то время как ...

# echo 0 > /proc/sys/vm/drop_caches

PS: Кстати, irqbalance я не назвал бы "стандартным" сервисом.

может еще и atd остановить? мало ли что там запускается