Apache定时，SIGTERM

Question

我有自己的虚拟机服务器运行在一个专业的托管公司已经半年了。我已经几个月没有做任何改变了。

突然，几天前，我的第三方网站监控系统给我发邮件说我所有的网站都关机了。我重新启动了apache，它再次工作了，但是第二天，同样的事情又发生了。现在我已经是连续第三天了。至少在过去的两天里，我的时间是早上7点到8点之间。

在Apache错误日志(/var/ log /apache2/ error _log)中，我得到的全部内容是：

[Mon May 27 00:33:17.764703 2019] [core:notice] [pid 5405] AH00094: Command line: '/usr/sbin/apache2'
[Mon May 27 00:33:17.927290 2019] [mpm_prefork:notice] [pid 5405] AH00169: caught SIGTERM, shutting down
[Mon May 27 00:52:55.866838 2019] [mpm_prefork:notice] [pid 848] AH00163: Apache/2.4.25 (Debian) OpenSSL/1.0.2r configured -- resuming normal operations
[Mon May 27 00:52:55.879748 2019] [core:notice] [pid 848] AH00094: Command line: '/usr/sbin/apache2'
[Mon May 27 12:47:22.759575 2019] [mpm_prefork:notice] [pid 848] AH00169: caught SIGTERM, shutting down
[Mon May 27 12:47:28.041888 2019] [mpm_prefork:notice] [pid 5572] AH00163: Apache/2.4.25 (Debian) OpenSSL/1.0.2r configured -- resuming normal operations
[Mon May 27 12:47:28.041936 2019] [core:notice] [pid 5572] AH00094: Command line: '/usr/sbin/apache2'
[Mon May 27 12:47:28.212269 2019] [mpm_prefork:notice] [pid 5572] AH00169: caught SIGTERM, shutting down
[Mon May 27 15:54:59.721916 2019] [mpm_prefork:notice] [pid 6550] AH00163: Apache/2.4.25 (Debian) OpenSSL/1.0.2r configured -- resuming normal operations
[Mon May 27 15:54:59.721963 2019] [core:notice] [pid 6550] AH00094: Command line: '/usr/sbin/apache2'

我相信，这是系统崩溃时的第三条底线。看起来apache关闭了，但没有再次启动。

我对Linux有足够的了解，这是很危险的，但是我对其他地方的想法已经不多了。

您建议检查哪些其他日志文件，以及我可以采取哪些其他故障排除步骤，例如添加额外的日志记录等？

这是在Debian 9上运行的，没有其他人可以访问服务器上的任何东西。它运行Apache2、MySQL和PHP7。

谢谢!

Answer 1

发送到httpd的SIGTERM表示现在停下来。找出是什么发出了这个信号。

杀人窥探是一个很容易做到这一点的脚本。然而，BPF在Debian 9上是不可用的。(有时在bcc回购中挖掘还会发现其他BPF之前的植入，但并不总是这样。)

或者，您可以设置auditd来记录杀死syscalls。

在crontabs和其他任何地方，都需要寻找反模式：

• 停止httpd而不启动它的脚本
• 在错误地命中httpd的脚本中使用杀死、killall、fuser命令