Ubuntu GCP虚拟机CPU占用过高：.syslogs进程异常求助

先明确一点：正常Ubuntu系统里并没有名为.syslogs的标准进程，结合你的环境（Drupal 7已停止官方安全支持，易受漏洞攻击），这个进程大概率是恶意程序或被篡改伪装的异常进程，下面是分步排查和解决的方案：

1. 锁定进程的真实身份 #

先搞清楚这个进程到底是什么、从哪里来：

• 执行以下命令查看进程的完整信息：

  ps -aux | grep .syslogs
  # 替换[PID]为实际进程ID（比如你看到的26271），查看进程的执行文件路径
  ls -l /proc/[PID]/exe
  # 查看进程的启动命令
  cat /proc/[PID]/cmdline
  

如果输出的路径不是系统默认的日志服务目录（比如/usr/sbin/rsyslogd），基本可以确定是恶意程序。

2. 终止进程并清除自启源 #

一旦确认是异常进程，先终止它，再挖掉它的自启根源：

• 强制终止进程：

  kill -9 [PID]
  

• 排查定时任务（恶意程序常通过定时任务实现自启）：

  # 查看进程运行用户www-data的定时任务
  crontab -u www-data -l
  # 检查系统级定时任务目录
  ls -la /etc/cron.d/ /etc/cron.hourly/ /etc/cron.daily/ /etc/cron.weekly/
  

发现可疑的定时任务条目或文件，直接删除即可。

• 检查系统服务：

  systemctl list-units --type=service | grep -i syslog
  

如果存在非标准的syslog相关服务，禁用并删除：

systemctl stop [可疑服务名]
systemctl disable [可疑服务名]
rm /etc/systemd/system/[可疑服务文件]

• 排查Drupal环境：
  进程以www-data运行，大概率是通过Drupal漏洞植入的后门：
  • 检查sites/all/modules目录，有没有陌生的、未授权安装的模块；
  • 对比官方Drupal7的文件哈希，确认核心文件是否被篡改；
  • 查看sites/default/files目录，有没有可疑的脚本或执行文件。

3. 从日志找问题根源 #

通过系统和应用日志定位入侵或异常触发点：

• 查看系统日志：

  tail -n 100 /var/log/syslog
  tail -n 100 /var/log/auth.log
  

  查找是否有异常登录记录、进程启动日志；
• 查看Apache日志：

  tail -n 100 /var/log/apache2/access.log
  tail -n 100 /var/log/apache2/error.log
  

  排查是否有大量异常请求（比如SQL注入、恶意文件上传请求）；
• 查看Drupal日志：
  如果安装了Drush工具，可执行：

  drush watchdog-show --count=50 --severity=error
  

  也可以直接查看sites/default/files/drupal.log文件。

4. 加固系统防止再次入侵 #

因为你的环境使用了已无官方安全更新的Drupal7，必须做这些加固操作：

• 安装Drupal7社区维护的安全补丁（比如第三方提供的长期安全支持扩展）；
• 更新系统及所有服务到最新安全版本：

  apt update && apt upgrade -y
  

• 限制www-data用户权限：禁止该用户写入系统目录，仅允许写入Drupal的sites/default/files等必要目录；
• 配置GCP防火墙：只开放80、443、22等必要端口，限制SSH登录的IP范围；
• 检查MySQL账号：删除不必要的账号，限制现有账号的访问权限，关闭不必要的远程登录权限。

内容的提问来源于stack exchange，提问作者user9321577