postgres用户的很多tracepath命令

Question

为什么 postgres 用户生成超过 1000 个 tracepath 命令进程？
\n这会占用大量 CPU 资源 - 我的进程核心的使用率高达 40%。

\n

我在 ASP.NET Core 3.1 和 PostgreSQL v10 服务器上的应用程序位于一台 VPS 服务器上。
\n使用主机 127.0.0.1 连接到 PostgreSQL 服务器的应用程序。

\n

这个命令在做什么？

\n

htop 输出：

\n

\n

更新：2010年1月21日

\n

我在我的服务器上检测到大规模 DDoS 攻击。攻击者使用了我没有的 root 和其他名称\xe2\x80\x99t。

\n

我安装了fail2ban，1-2 小时后我看到了这个：

\n

\n

而且禁令的数量正在增加......

\n

更新：2020年1月22日

\n

我还有另一个问题：在 postgresql 用户名上创建幻像进程。它使用了我所有的 CPU 和 RAM...

\n

\n

Answer 1

我不认为你受到 DDOS 攻击。您已被黑客攻击，并且可能正在被用来针对其他人实施 DDOS。他们放弃了一个 shell 启动器，让他们连接到 postgresql，然后调用一个函数来启动他们想要的任意 shell 脚本。

您说“应用程序使用主机 127.0.0.1 连接到 PostgreSQL 服务器”，但是攻击者使用什么？是否允许除 127.0.0.1 之外的任何人连接？

我正在安装fail2ban，1-2小时后我看到了这个：

任何在端口 22 上打开并运行fail2ban 的服务器都会构建一个被禁止的IP 列表。您之前没有注意到它，因为您之前没有运行fail2ban。这不太可能与您所看到的其他任何内容有任何关系。对 22 的攻击如此普遍，以至于记录它们可能没有用。