文章讲述了在CentOS环境中，SSH和SU切换变慢且sshdCPU占用异常的问题。通过修改SSH配置、使用strace追踪和分析发现，问题与btmp文件过大有关，其中包含大量登录失败记录。解决方法是监控btmp并清理异常记录以防止潜在的安全威胁。
１某centos环境，ssh和su切换慢，并且sshd进程cpu占用偶发性100%
2 修改ssh配置，去掉pam模块认证后ssh登录速度恢复正常
3 通过strace追踪su切换，异常情况下有大量notty相关打印，正常情况下没有
4 分析strace日志，发现su切换时会去打开/var/log/btmp文件，notty正来源于btmp
5 正常情况下btmp通常就几k或几兆，但是异常的有5G多，删除异常的btmp后su切换，ssh登录恢复正常
６查看pam源码，每次登录都会从btmp中读取登录失败记录，当有新的登录失败记录时，会在下次登录成功后进行提醒
7 建议关注btmp文件大小，过多登录失败记录可能代表这服务器可能被攻击了
2009
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
