Prozess "tar" frisst 97% CPU Zeit

[lybk]

Hallo,

auf meinem Strato root frisst ein Prozess namens "tar" meine gesamte CPU Leistung.

Wenn ich den Prozess kille startet er sich sofort wieder von selbst.
mit chrootkit habe ich erst vor paar Tagen gescannt, mit aktueller chkr version.

System: Suse Linux 9

Wo mach ich was falsch, bzw. was für weitere Infos braucht ihr um mir zu helfen?

btw: suche brachte nix. lasse mich aber gern eines besseren belehren.

[sepp2k]

tar ist ein Pack-Programm - da wird irgendwas gepackt bei dir. Vllt. ein Backup oder eine Archivierung von Logfiles oder so? Gib' mal ps -a f ein und schau, von welchem Prozess tar gestartet wurde.

[lybk]

"ps -a f" gibt bei mir nur verschiedene prozesse (meisst su und bash) aus die in einer art baumstruktur sind. andere prozesse sehe ich leider nicht.

was ich vorhin vergessen hatte: auf dem server läuft ein gameserver. mir wurde gesagt dieser würde laggen, bei der Problemsuche stieß ich dann auf den tar prozess. dass dieser zum archivieren ist, wusste ich, jedoch sind fast 100% CPU schon übertrieben. egal was für backups gefahren werden, jedenfalls meine meining. :rolleyes:

vielen dank schon mal bis hierhin. :o

lybk

[sepp2k]

"ps -a f" gibt bei mir nur verschiedene prozesse (meisst su und bash) aus die in einer art baumstruktur sind.
Eigentlich solltest du in dieser Baumstruktur tar finden und an dem Ast, der zu tar geht, sehen können, wovon es gestartet wird.


andere prozesse sehe ich leider nicht.
Also tar taucht in der Liste nicht auf? *nachdenk* Achja, klar. Du musst ps -A f machen (mit einem großem "A"), dann werden alle Prozesse angezeigt.

[stefan-tiger]

ps auxf

pstree

[lybk]

Ergebnis von "ps -A f":

PID TTY STAT TIME COMMAND
1 ? S 0:06 init [3]
2 ? SW 0:00 [keventd]
3 ? SWN 0:00 [ksoftirqd_CPU0]
4 ? SW 0:06 [kswapd]
5 ? SW 0:00 [bdflush]
6 ? SW 0:00 [kupdated]
10 ? SW 0:00 [khubd]
11 ? SW 0:10 [kjournald]
56 ? SW 0:00 [kjournald]
538 ? S 0:00 /sbin/dhcpcd -H -D -N -t 999999 -h linux eth0
618 ? S 0:00 /usr/sbin/saslauthd -a pam
619 ? S 0:00 \_ /usr/sbin/saslauthd -a pam
620 ? S 0:00 \_ /usr/sbin/saslauthd -a pam
621 ? S 0:00 \_ /usr/sbin/saslauthd -a pam
622 ? S 0:00 \_ /usr/sbin/saslauthd -a pam
632 ? S 0:00 /sbin/portmap
676 ? S 0:00 /sbin/startpar -f -- /etc/init.d/rc3.d/S12named
682 ? S 0:00 /usr/sbin/named -t /var/lib/named -u named
683 ? S 0:00 \_ /usr/sbin/named -t /var/lib/named -u named
684 ? S 0:00 \_ /usr/sbin/named -t /var/lib/named -u named
685 ? S 0:00 \_ /usr/sbin/named -t /var/lib/named -u named
686 ? S 0:00 \_ /usr/sbin/named -t /var/lib/named -u named
691 ? S 0:00 /bin/sh /usr/bin/mysqld_safe --user=mysql --pid-file=
735 ? S 0:08 \_ /usr/sbin/mysqld --basedir=/usr --datadir=/var/li
748 ? S 0:07 \_ /usr/sbin/mysqld --basedir=/usr --datadir=/va
749 ? S 0:23 \_ /usr/sbin/mysqld --basedir=/usr --datadir
14164 ? S 0:00 \_ /usr/sbin/mysqld --basedir=/usr --datadir
733 ? S 0:01 /usr/sbin/sshd -o PidFile=/var/run/sshd.init.pid
14379 ? S 0:00 \_ sshd: bfsrvusr@pts/6
14381 ? S 0:00 \_ sshd: bfsrvusr@pts/6
14383 pts/6 S 0:00 \_ -bash
14402 pts/6 S 0:00 \_ su
14403 pts/6 S 0:00 \_ bash
14492 pts/6 R 0:00 \_ ps -A f
902 ? S 0:02 /usr/lib/postfix/master
17007 ? S 0:03 \_ qmgr -l -t fifo -u
14313 ? S 0:00 \_ pickup -l -t fifo -u
14371 ? S 0:00 \_ trivial-rewrite -n rewrite -t unix -u
974 ? S 0:00 /usr/sbin/cron
14144 ? S 0:00 \_ /USR/SBIN/CRON
14146 ? S 0:01 | \_ /root/confixx/confixx_counterscript.pl
14196 ? S 0:00 | | \_ sh -c cd /srv/www/htdocs/web5/html; tar c
14197 ? R 27:26 | | \_ tar czf /srv/www/htdocs/web5/backup/h
14198 ? Z 0:00 | | \_ [tar] <defunct>
14199 ? S 0:00 | \_ /usr/sbin/sendmail -FCronDaemon -odi -oem roo
14200 ? S 0:00 | \_ /usr/sbin/postdrop -r
14377 ? Z 0:00 \_ [cron] <defunct>
981 tty1 S 0:00 /sbin/mingetty --noclear tty1
982 tty2 S 0:00 /sbin/mingetty tty2
983 tty3 S 0:00 /sbin/mingetty tty3
984 tty4 S 0:00 /sbin/mingetty tty4
985 tty5 S 0:00 /sbin/mingetty tty5
986 tty6 S 0:00 /sbin/mingetty tty6
987 ttyS0 S 0:00 /sbin/agetty -L 57600 ttyS0 vt102
988 ? S 0:20 /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.conf -
7784 ? S 0:00 \_ /usr/bin/perl /root/confixx/pipelog.pl
7785 ? S 0:01 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7786 ? S 0:01 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7787 ? S 0:01 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7788 ? S 0:00 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7789 ? S 0:00 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7790 ? S 0:00 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7791 ? S 0:00 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7792 ? S 0:01 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
7793 ? S 0:00 \_ /usr/sbin/httpd2-prefork -f /etc/apache2/httpd.co
4847 ? SN 0:02 ./server_linux -daemon
4848 ? S 0:01 \_ ./server_linux -daemon
4849 ? S 5:31 \_ ./server_linux -daemon
4850 ? S 23:40 \_ ./server_linux -daemon
4851 ? S 20:05 \_ ./server_linux -daemon
4852 ? S 0:00 \_ ./server_linux -daemon
4853 ? S 0:00 \_ ./server_linux -daemon
4854 ? S 0:00 \_ ./server_linux -daemon
4855 ? S 3:01 \_ ./server_linux -daemon
6399 ? S 3:29 ./bvsmd -daemon
1042 ? S 48:51 /sbin/syslogd -a /var/lib/named/dev/log
1045 ? S 47:18 /sbin/klogd -c 1 -2
2551 ? S 0:11 ./psybnc
29590 ? S 0:00 xinetd

--------------

scheint wohl hier zu stecken, oder?:

974 ? S 0:00 /usr/sbin/cron
14144 ? S 0:00 \_ /USR/SBIN/CRON
14146 ? S 0:01 | \_ /root/confixx/confixx_counterscript.pl
14196 ? S 0:00 | | \_ sh -c cd /srv/www/htdocs/web5/html; tar c
14197 ? R 27:26 | | \_ tar czf /srv/www/htdocs/web5/backup/h
14198 ? Z 0:00 | | \_ [tar] <defunct>
14199 ? S 0:00 | \_ /usr/sbin/sendmail -FCronDaemon -odi -oem roo
14200 ? S 0:00 | \_ /usr/sbin/postdrop -r
14377 ? Z 0:00 \_ [cron] <defunct>

thx,

Lybk

[sepp2k]

Ja. Tar scheint in der Tat ein Backup anzulegen (und dieses mit gzip zu zippen) und zwar tut es das, weil das Script /root/confixx/confixx_counterscript.pl, welches von Cron gestartet wurde (Cron ist ein Dienst, der in regelmäßigen Intervallen (stündlich, täglich, wöchentlich, ...) bestimmte Aufgaben erledigt (d.h. Befehle ausführt)), ihm das so sagt.
Scheint also was mit Confixx zu tun zu haben.

[LKH]

Hi,

per Cron wird eben eine Archivierung vorgenommen. Frag halt den Admin des Servers wie lange das denn so dauert und ob das überhaupt Sinn macht.

LKH

[craano]

Hallo,

wenn Du root Zugang hast, kannst Du dann nicht einfach mit renice dem tar Prozeß weniger Systemleistung "gönnen"?

Gruß.
craano.

[lybk]

jetzt fällt mir wieder ein dass ich mal auf Backup beim Kunde web5 geklickt habe.

leider kann man die häkchen im confixx nicht mehr deaktivieren.

soll ichs direkt aus der crontab löschen?

[craano]

Wenn Du den Scriptaufruf aus der crontab löschst, wird das script in Zukunft nicht mehr gestartet (Zumindest nicht durch einen Aufruf durch cron).

Doch ist dieser cron Eintrag vorgenommen worden, weil Du anscheinend ein regelmäßiges Backup von Deinem Server in Auftrag gegeben hast.

Bezahlst Du, wenn Du den Eintrag nun händisch löschst, dann nicht für einen Service, den Du gar nicht nutzt?

Gruß.
craano.

[lybk]

da ich eigentümer des servers bin fallen keine kosten an.

[craano]

Ok, dann habe ich Dich falsch verstanden.

Ich dachte Du hättest bei Strato einen Server mit root Zugang gemietet und Strato hätte dieses Backup als zusätzlichen Service angeboten und Du müßtest dafür bezahlen.

Wenn es allerdings Dein eigener Server ist, dann kannst Du diesen crontab Eintrag löschen, du kannst diesen ja jederzeit wieder herstellen, wenn Du das tar-Backup doch benötigst. Gegebenfalls ist dann renice, wie ich oben schon erwähnt habe, wieder interessant für Dich, denn damit kannst Du vermeiden, daß ein bestimmter Prozeß Dir die Systemresourcen komplett "wegfrißt".

Gruß.
craano.