Jaki jest najlepszy sposób na posprzątanie po bombie widelca?

$ ls
bash: no more processes

O o. Wygląda na to, że ktoś zrobił bombę widelcową. Tam, gdzie kiedyś pracowałem, oznaczało to w zasadzie, że serwer współużytkowany musiałby być poddawany cyklom zasilania, ponieważ nawet sysadmini z rootem często nie potrafili rozwiązać problemu. Często nawet nie mogli uzyskać monitu.

Słyszałem kilka sztuczek (w szczególności wysyłanie sygnałów STOP zamiast sygnałów ZABÓJ, ponieważ te ostatnie pozwoliłyby pozostałym wątkom na natychmiastowe zastąpienie zabitych), ale nigdy nie widziałem wyczerpującego przewodnika zatytułowanego So, You Have Yourself widelec bomba?

Zróbmy jeden.

Zapobiec bombę widelca wyczerpaniu limitu procesu z rozsądnym na granicy proces użytkownika za pomocą ulimit .

W ten sposób pojedynczy użytkownik wyczerpie swój limit procesów na długo przed osiągnięciem limitu systemu.

Pierwszą rzeczą do wypróbowania byłoby skłonienie zalogowanych użytkowników do wylogowania. Możliwe, że ich powłoka może być nadrzędnym procesem wykonującym wszystkie rozwidlenia, co może zakończyć problem.

Jeśli to nie zadziała, możesz spróbować uruchomić kill -STOP -2jako root, aby zamrozić wszystkie procesy uruchomione jako dowolny użytkownik inny niż root. Jeśli to zadziała, możesz użyć kill -CONT <pid>do odblokowania niektórych znanych procesów niezwiązanych z bombą widelcową i zabić je, aby wyeliminować problem z pełną tabelą procesów i dać ci trochę czasu na odnalezienie i zabicie pierwotnego źródła problemu. Sendmail byłby dobrym przykładem procesu systemowego do zabicia, ponieważ można go łatwo zidentyfikować za pomocą pliku .pid do identyfikacji pid. Na przykład kill -CONT $(< /var/run/sendmail.pid); kill $(< /var/run/sendmail.pid).

Nie jestem pewien, jak można wysłać sygnał STOP, ponieważ odrodzenie killwymagałoby dostępnego uchwytu procesu. Poza tym z mojego doświadczenia wynika, że ​​systemy stają się przeciążone i bezużyteczne na długo przed wyczerpaniem się procesów.

Czy rozważałeś po prostu egzekwowanie limitów procesów na użytkownika ulimit? Uniemożliwiłoby to użytkownikom uruchomienie bomb widłowych (przypadkowo lub nie).

Niektóre systemy BSD mają możliwość zarezerwowania ostatnich 5 procesów dla rootowania. Może twój system ma tę zdolność.