netstat -nlpa | grep 59212

не показывает имя процесса
выводит
tcp 0 0 мой ип:51930 67.219.147.82:80 TIME_WAIT -

Твой докер хакнули и теперь он качает биткойны

или kvm

если хакнули то как увидеть какой процесс качает?

Ты не говоришь что у тебя там крутится, виртуалки, контейнеры или еще что.

крутятся сайты, без докеров

tcp 0 0 мой ип:51930 67.219.147.82:80 TIME_WAIT -

А много подобного нетстат показывает? Конкретно в данном случае что-то на твоём сервере подключилось к порту 80 (HTTP) сервера с айпишником 67.219.147.82 (где-то в США).

Если твои сайты должны сами подключаться куда-то ещё, то возможно это нормально. Если нет, то возможно твой сервак реально взломали (скорее всего через дыру в сайтах) и посадили бота, который пытается ломать другие сайты, DDoSит или занимается каким-нибудь другим подобным непотребством.

nethogs показывает примерно 20-30 записей такого типа, но с разными удаленными ип
? root ип сервера:59212-104.25.27.103:80 0.280 15.793 KB/sec
причем большая часть не качает и у них 0 KB/sec
также сам кач идет не постоянный, то появляется то исчезают
при этом nload показывает стабильный входящий трафик 20 мб\с

что еще заметил- после ребута сервера nload сразу же показывает что идет скачивание
если я выключаю php-fpm или nginx то nethogs не показывает активую скачку, а nload показывает что скачивание не изменилось

iftop

Iftop

iftop показывает список ип
мне надо найти кто именно создает нагрузку на сеть

пытался использовать tcpdump, iftop,iptraf-ng но никто не показывает имена процессов

Что то вроде

lsof -i tcp:51930

ничего не выводит

ss -lntp?

ss -lntp выводит список сервисов, которые запущены и слушают порты
в моем случае неизвестное приложение открывает порт 59212 и соединяется или пытается соединиться с 104.25.27.103 на порт 80
по крайней мере ss -lntp не показывает порты больше чем 11211

От рута надо запускать, на всякий случай. Ну и понятно с актуальным значением порта.

конечно я запускал под рутом ss -lntp|grep 58658 но ничего не показало

вот что еще нагуглил
https://unix.stackexchange.com/questions/91055/how-to-tell-if-mysterious-prog...
https://askubuntu.com/questions/401197/how-can-i-close-a-root-process-unknown...
https://superuser.com/questions/771499/nethogs-not-helping-understanding-susp...

Я имел в виду `lsof`. Например у меня под рутом она показывает все процессы кто сидит на заданном порту:

user@user sudo lsof -i tcp:80
COMMAND   PID     USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
apache2  1015     root    4u  IPv6   2042      0t0  TCP *:http (LISTEN)
apache2 24448 www-data    4u  IPv6   2042      0t0  TCP *:http (LISTEN)
apache2 24449 www-data    4u  IPv6   2042      0t0  TCP *:http (LISTEN)
apache2 24450 www-data    4u  IPv6   2042      0t0  TCP *:http (LISTEN)
apache2 24451 www-data    4u  IPv6   2042      0t0  TCP *:http (LISTEN)
apache2 24452 www-data    4u  IPv6   2042      0t0  TCP *:http (LISTEN)

[root@localhost ~]# lsof -i tcp:35014
[root@localhost ~]#

пусто

Хмм, а статус соединений `TIME_WAIT` у всех? Это уже практически завершенные соединения, которые отвалятся по таймауту

почти у всех кому делаю греп по портам из nethogs показывает TIME_WAIT

почти у всех кому делаю греп по портам из nethogs показывает TIME_WAIT

Я не авторитет в этих делах, но по этим соединениям трафика быть не должно, так как это завершенные соединения и просто не факт что еще живой тот процесс что породил их, поэтому lsof и не показывает ничего. Просто (как я понимаю) tcp стек ядра держит эти локальные порты занятыми чтобы новый процесс не получил данные, предназначенные для старого процесса. Я бы в качестве подозрительных процессов поискал все-таки активные соединения.

как искать?
все что есть запускал, ничего не помогает
nload на внешний ип постоянно показывает большой входящий траф

iftop тоже ничего не дает?

думаю все софтины используют одну и ту же информацию о процессах.
если nethogs не показывает кто это, то и остальные скорее всего ничем не помогут.

jnettop не показывает инфу о процессах, он работает через libpcap. через него можно узнать, через какой порт сильнее грузится сеть, потом уже нетстатом смотреть, кто на нем сидит.

пс. посмотрел, nethogs так же работает. ну хз :)

так вот нетстат и не говорит что за процесс. как-будто портом пользуются из kvm или докера, либо ещё какой-то дофига привилегированный процесс.

В iftop нажми p увидишь порты которые используются

включаем нетворкинг в кониге системд и см трафик по сигруппам

плюс непонятные процессы такого формата

? root ип сервера:59212-104.25.27.103:80 0.280 15.793 KB/sec

У вас руткит, пора переустанавливать центос.

`lsof -i` покажи вывод полный после отключения сайтов

стопанул httpd, nginx, php-fpm
вот что выводит. ssh это мое подключение
https://justpaste.it/5783a

Включаешь монитор скорости и по одному вурубаешь перечисленные сервисы. Как только трафик остановится - попал в точку.

не помогло
вот что не смог остановить
master
cache-mai
smtpd
local

будут еще идеи?

lsof и tcpdump, netstat, fstat твои друзья в таких вопросах.

Проверь ещё ssh на предмет открытого прокси. У меня был инцидент с anoncvs, когда я забыл выключить форваринг для юзверя.

#Match User anoncvs
#       X11Forwarding no
#       AllowTcpForwarding no
#       ForceCommand cvs server