我从 LayeredTech 租用了一台 Linux VM，它是 Xen Hypervisor 上的一个客户机。操作系统是 CentOS 5.3，运行 Apache2。几乎每天我的服务器的行为都让我相信我受到了 DDoS 攻击，但我找不到任何证据。我运行的是 Apache Mod_security、MySQL 5.x、PHP 5.x，所有版本都是最新的。
VM 相对低功耗，但当不出现此症状时，它可以很好地处理我的网络流量负载。
我的 Web 服务器将失去响应，登录后将出现数百个 HTTPD 进程。我的所有虚拟主机都已 chroot 并使用 SUexec，但所有生成的进程都以“apache”用户身份运行。
我的机器上没有运行任何恶意网站，并且服务器也没有被入侵的证据。
当问题发生时，我的平均负载超过 250，我需要做的就是强制重启 httpd，24-72 小时内一切都会正常。
我查看了所有我能想到的日志文件，但找不到任何 DDoS 的证据，也找不到任何“digg 效应”类型的流量，什么都没有。只要我重新启动 HTTPD，导致它产生如此多进程的任何东西都会停止。如果是由于高流量网站、大型网站上的首页链接或 DDoS 造成的，我想请求永远不会停止，只会在重新启动 httpd 后再次挂起我的服务器。
我也使用过各种工具，例如 apachetop 和其他实时监控工具，但我通常无法预测何时会发生这种情况，并且当它发生时，服务器已经超载太多，除了杀死 HTTPD 之外什么也做不了。
我不知道如何防止这种情况发生，而且我不知道从哪里可以找到原因——任何想法都将不胜感激！
附加信息：
我建立服务器已经大约 2 年了，我根据读到的一些内容配置了这些参数，从来没有遇到过问题，但我不确定这些设置是否会有所帮助：
# prefork MPM
# StartServers: number of server processes to start
# MinSpareServers: minimum number of server processes which are kept spare
# MaxSpareServers: maximum number of server processes which are kept spare
# ServerLimit: maximum value for MaxClients for the lifetime of the server
# MaxClients: maximum number of server processes allowed to start
# MaxRequestsPerChild: maximum number of requests a server process serves
<IfModule prefork.c>
StartServers 8
MinSpareServers 5
MaxSpareServers 20
ServerLimit 256
MaxClients 256
MaxRequestsPerChild 4000
</IfModule>
# worker MPM
# StartServers: initial number of server processes to start
# MaxClients: maximum number of simultaneous client connections
# MinSpareThreads: minimum number of worker threads which are kept spare
# MaxSpareThreads: maximum number of worker threads which are kept spare
# ThreadsPerChild: constant number of worker threads in each server process
# MaxRequestsPerChild: maximum number of requests a server process serves
<IfModule worker.c>
StartServers 2
MaxClients 150
MinSpareThreads 25
MaxSpareThreads 75
ThreadsPerChild 25
MaxRequestsPerChild 0
</IfModule>
答案1
你确定日志里什么都没有吗？
您可以配置 Apache 的 MPM 工作程序来限制其启动/管理的进程数量。
还有一种鲜为人知的 DDoS 攻击，它使连接保持活动状态（HTTP 的 Keep-Alive 机制），而不是在完成时关闭它们，这可能会导致数百个额外进程启动，因为 Apache 认为它正在处理来自这些 DDoS 进程的请求并为新进程生成新的进程。
当您重新启动 Apache 时，它会终止这些恶意进程并终止连接，因此这取决于攻击者需要多长时间才能意识到连接已断开并再次尝试。
您还可以启用服务器状态和服务器信息处理程序，并在服务器开始繁忙时观察它们，以确定服务器正在做什么。