本文不定时更新！
A： MySQL 执行 SHOW FULL PROCESSLIST
Q： 查看连接数和慢查询，适用于 MySQL 数据库无法连接 1040
A： iftop -i eth0
Q： 查看占用带宽的IP（命令：iftop -i eth0 -F ip/24），添加到安全组、防火墙、宝塔的黑名单中。
命令 grep -l "x.x.x.x" /www/wwwlogs/*.log 可以在 wwwlogs 目录下的所有 .log 文件中查找指定的恶意 IP。
A： goaccess -f xxx.log
Q： 实时分析网站日志，查看请求最多的IP
A： net.xoyozo.weblog 日志分析工具
Q： 自制的 Web 日志分析工具，可按多种方式排序，纠出可疑访问
A： 重启 web 服务器
Q： 有时候能解决 CPU 和内存消耗的问题，如果一会儿又升高，则需要找另外的原因
Q： 500 服务器内部错误
502 Bad Gateway
504 Gateway Time-out
A： 查看 php 日志，可能的路径：
/usr/local/php/var/log/php-fpm.log
/www/server/php/[版本]/var/log/php-fpm.log
Q： RDS MySQL IOPS 使用率高的原因和处理
A： 根据时间点查看慢查询
Q： Discuz! 论坛界面错乱、表情不显示、模块缺失、登录失败、发帖失败等等
A： 进入管理中心 - 工具 - 更新缓存，能解决大部分问题
Q： Discuz! 浏览帖子提示“没有找到帖子”
A： 进入数据库，修复表 pre_forum_post 或分表
Q： CPU 100% 或内存 100%，负载100+
A： 原因有很多，以下是一些建议：
Windows 在任务管理器中查看进程
当前是否有正常的大流量访问（譬如民生类论坛的某个帖子突然火了）特别是重启无效的情况
对比网站日志大小可大致确定哪个网站被大量恶意请求。
观察：命令 top
排查：通过关闭网站来确定是某网站的问题，通过关闭功能确定是某功能的问题，如果 nginx 崩溃请参下条
案例：通过修改 mobcent 文件夹名确定是安米的文件被疯狂请求导致的，更新插件和 mobcent 包解决问题。
如果都是正常访问，top 看到很多 php-fpm，而且个个占用 CPU 还不小，那么根据服务器硬件配置来修改 php 的并发量，如宝塔面板在 php 设置 - 性能调整 页，300 并发方案的推荐配置是：
max_children：300
start_servers：30
min_spare_servers：30
max_spare_servers：180另外，memcached 或 redis 的配置也可以进行相应的修改。
另一个案例是 kswapd0 进程占满 CPU，原因是内存不足导致 swap 分区与内存频繁交换数据。同样调整 php 的设置即可。
也可以通过 iftop 来查询占用带宽较多的 IP 并封禁（出方向），如果 CPU 能降下来，那这个 IP 就是罪魁祸首。
Q： 阿里云 ECS 的 CPU 突然达到 100%，并持续到次日 0:00 左右
A： 可能 ECS 是 t5 规格，受 CPU 积分制度限制，积分耗尽时 CPU 不工作。解决方法是更换其它规格产品或升配。
Q： ASP.NET 所在服务器 CPU 突然达到 50% 或 100%，并持续
A： 首先确定哪个网站，再依次排查网站各功能。可能是 HttpWebRequest 请求远程数据时长时间未返回结果导致的程序阻塞。
Q： nginx 服务停止
A： 查看 nginx 日志
WDCP 路径：/www/wdlinux/nginx-1.0.15/logs/error.log
Q： 公网出带宽 100%，其它指标正常
A： Windows 在任务管理器-性能-资源监视器-网络 查看占用带宽的进程PID，然后在任务管理器-详细信息中的找到对应的用户（如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽）；如果是被 PID 为 4 的 System 占用大部分带宽，也可以尝试重启 IIS 来解决。
CentOS 使用 nethogs 查看占用带宽的进程PID和USER，如果为每个网站分别创建了用户，就能知道是哪个网站占用了带宽，否则只能一个个关闭网站来判断，不知道大家有没有好的方法？当然还可以直接用 iftop 命令查看占用带宽的 IP。另外，查看每个网站在那个时间段的日志文件的大小也能大概看出是哪个网站被采集了。
A： Linux 显示每个用户会话的登入和登出信息
utmpdump /var/log/wtmp
参考：http://www.tulaoshi.com/n/20160331/2050641.html
Q： RDS 的 CPU 100%
A： 如果是突然持续占满（同时伴随 ECS 资源使用率下降，页面出现 502），很大可能是受攻击（或社交网站推送突发事件等），查看“慢查询”，添加相关索引；如果是 Discuz! 论坛，可尝试修复优化表 pre_common_session。
如果是数日缓步上升，或新项目上线，考虑 SQL 慢查询，思路：MySQL / SQL Server。
MySQL：SHOW FULL PROCESSLIST
SQL Server：sp_who
Q： php 网站的服务器，内存在数天内缓慢上升
A： 大概是 php-fpm 占用过多，或进程数太多
更改 php 的配置（如 max_spare_servers），执行：service php-fpm reload
Q： 进程 cloudfs 占用内存过多
A： 参：https://xoyozo.net/Blog/Details/cloudfs-cache
Q： RDS 磁盘占用过大
A： 参：https://xoyozo.net/Blog/Details/how-to-use-rds
Q： ECS 受到 DDoS 攻击怎么办？
A： 参：https://xoyozo.net/Blog/Details/aliyun-ddos-without-bgp
Q： 如果 ECS 和 RDS 各项指标都没有异常，但网页打开慢或打不开502，TTFB 时间很长，是什么原因？（ECS 的 CPU 100%，RDS 的连接数上升，也可参考此条）
A： 数据库有坏表，尝试优化/修复表（慢 SQL 日志中锁等待时间较长的表？），或主备切换。show full processlist 时看到许多
DELETE FROM pre_common_session WHERE sid='******' OR lastactivity<****** OR (uid='0' AND ip1='*' AND ip2='*' AND ip3='*' AND ip4='*' AND lastactivity>******)
Q： Discuz! 创始人(站长)密码被改
A： 数据库找到 pre_ucenter_members 表，复制其它的已知登录密码的账号，复制其 password 和 salt 两个字段的值到创始人账号中，创始人账号即可用该密码登录了。
Q： 通过 iftop 观察到，Discuz! 网站从 RDS 数据库到 ECS 网站服务器私网流量非常大，远大于公网流量
A： 可能是缓存出问题了，尝试卸载重装 Redis 来解决。
Q： 宝塔面板中安装的 Redis 经常自动停止
A： 尝试卸载重装 Redis 来解决。
Q： 马甲客户端出现“您的网络有些问题”
A： 原因有许多，其中一个就是新建了一个数据表，然后 /source/class/table/ 下面丢失了对应的文件，具体可以找官方排查原因。
Q： 排查服务器安全需要检查哪些日志？
A： Web日志、登录日志（/var/log/secure）等。
Q： 带宽波形以几分钟为周期呈锯齿状波动是什么原因？
A： 该现象主要由防火墙流量管控机制与检测周期设置共同作用所致。防火墙基于预设的带宽阈值执行安全防护策略，当检测到流量峰值超过设定阈值时，将自动触发限流策略拒绝后续请求。待流量回落至安全阈值后，系统自动恢复服务访问权限。若防火墙的带宽采样检测周期设置过长（如以分钟为单位的检测间隔），将导致系统对实时流量变化的响应出现迟滞。这种周期性的检测机制会使带宽监控数据在阈值临界点附近呈现规律性的锯齿状波动特征。
优化建议：可通过调整防火墙的流量检测周期至更小时间粒度（如10-15秒），或采用动态流量整形策略，以实现更平滑的带宽控制效果。
补充说明：对于阿里云监控数据的调用，建议注意接口调用频率管控。高频调用云监控API接口将触发阿里云的API计费策略，可能产生额外的资源消耗成本。
其它案例
某台 ECS 上的多个网站出现 502，查询到 CPU / 内存 / 带宽 都比平时高，但都未满。用 iftop 看到连接的一个远程 Redis 占用内网带宽非常高。尝试重启远程 Redis 未果。尝试重启 ECS 上的 nginx 未果。尝试重启 ECS 未果。进入 ECS 的宝塔面板，重启 PHP 有效。
今天终于把大量占用论坛服务器带宽的元凶找到了！
我们的论坛使用阿里云的 ECS+RDS+OSS+CDN 架构，最近发现 ECS 的带宽怎么都不够用了，也没有什么突发事件呀，再说附件都在 OSS 上。观察了云监控控制台，发现半夜里的流量也不减呀，白天更是触顶下不来，坛友们真是不辞辛劳为 PV 作贡献啊。
我对 CentOS 还是不够熟悉的，查阅了一些资料后，终于找到方向入手了。
重点肯定是日志文件了，但是面对每天几个 G 的大块头，还真是无法下手，一条一条看估计胡子都白花花了。
那么，首先安装 GoAccess 这个好东西（yum install goaccess）
然后进入网站日志目录，用 GoAccess 来分析一下（goaccess -f xxxxxx.log -a），具体用法参官网
选择日志格式，nginx 默认为 NCSA Combined Log Format，空格选中，回车确认
稍等片刻就可以看到主界面了，统计信息丰富多彩，统计结果一目了然，看截图，如果你分析的日志文件是当前正在使用中的，它还会每秒刷新主界面，让你看到实时统计
大致分为几块内容：
按 1 定位到“按天访问量”
按 2 定位到“最多次被请求的 URL”
按 3 定位到“最多次被请求的静态文件”
按 4 定位到“最多次被请求的 404”
按 5 定位到“最多次请求的用户 IP”
按 6 定位到“用户的操作系统”
按 7 定位到“用户的浏览器”
按 8 定位到“按小时的统计”
按以上数字键后，再按回车可以查看具体或更多的信息，按 s 可以更换排序，按 q 返回或退出
那么我先找 5 最多次请求的用户 IP，排前面的全部是从 60.191.127.4 到 60.191.127.26 的 IP，每个 IP 都是几 G 级的带宽占用。
负责任的，你必须保证这些 IP 不是政府或大企业的对公 IP，而且得拿这些 IP 直接去日志文件里搜到底请求了哪些 URL。经查证，它们只请求版块的帖子列表页，没有请求任何图片、脚本、样式等，还有，UserAgent 中没有带 Spider 之类的关键字，证明不是搜索引擎的蜘蛛，那么就可以果断认为它“不是人”
啥都不说了，找到 nginx 的 conf 配置文件，在 server 中添加 deny 60.191.127.0/24;
检查配置：nginx -t
使配置生效：nginx -s reload
呵呵，马上就能在阿里云监控里看到过山车式的折线了。
另外，备注下查看各IP的连接数的命令：
netstat -an|grep :80| awk '{print $5}'| cut -d':' -f1| sort |uniq -c
家里用的 6M 小水管，经常遇到打开网页龟速，于是进入 TP-LINK 路由器控制面板，打开流量统计，发现竟然是 iPhone 在偷跑流量。下载速度几乎为 0.00KB/s，但上传速度稳定在 50~80KB/s，属于满负荷上传。
于是问度娘有没有类似网络监控的应用，无果。在 App Store 找各种流量仪，发现都是只管数据流量的，没有监控哪些应用在占用 WiFi。
看看手机状态栏也没有正在使用网络的 Loading 图标，莫非手机中毒了？
双击 Home 键，一个一个地删除后台程序，每次看流量都还在上传。
又是各种百度，终于有了眉目，是不是 iCloud 在 WiFi 下自动备份？
进入 设置 - iCloud - 备份 - iCloud 云备份，确实是“开”的，但明明写清楚了只有在 iPhone 接入电源、锁定且接入无线局域网时，才自动备份数据。
试一下吧，关闭它。继续观察……还在上传。
这倒提醒到我了，是不是在自动备份照片呢？
干脆我就再等等，过了几分钟，路由器上看到上传速度降下来了，于是我拿着手机猛地拍了好多照片，不一会儿，上传速度又噌噌噌往上飙了，看来原因是找到了。
那么我就直接把百度云删了吧，因为我是用它来自动备份照片的。
可是……仍然没什么卵用。
那就只剩你了：iCloud
进入 设置 - iCloud - 照片 - 我的照片流，关闭！
整个世界安静了……
--------------------------------------------------------------------
几天以后，悲剧地发现，还是在上传数据
--------------------------------------------------------------------
几周后，家里换用小米路由器，再没有发现 iPhone 偷偷上传。
（也有可能是我关闭了 设置 - iCloud - 备份 - iCloud 云备份 的缘故。）
--------------------------------------------------------------------
几个月后，我无意间进入 设置 - iCloud - 储存空间 - 管理储存空间 - 此 iPhone，看到列出了备份到 iCloud 上的数据。照片图库没有问题，有新照片一定是增量备份的，但是 QQ 和微信的数据就不一定了，以电脑端的聊天记录为例，QQ 是放在 Msg2.0.db 或 Msg3.0.db 单个文件的，如果手机端也是，而且每次都要把几百 MB 甚至几 GB 的文件备份到 iCloud 上，结果可想而知。
| 软件名称 | 价格 | 软件介绍 |
|---|---|---|
| ProPresenter | 试用 / $399 | 一款跨平台（Mac、Windows），专为高品质现场（包括晚会、体育赛事、会议等）打造字幕及多媒体展示的软件。 （试用版是全功能的，但输出窗口有水印，试用期两周） |
| Sports Sounds Pro | 免费 / $149.95 | 一款专业用于现场事件的音控软件。 （免费版是全功能的，仅有一些限制，比如：只能播放 10 组中每组的前 3 页的第 1 行，而且只能放置 180 个按钮） |
| Miro Video Converter | 免费 | 可以导出兼容 HTML5 网页播放的视频格式（.mp4）。 |
| Vistumbler | 免费 | 无线网络扫描工具。 |
| VNC | 免费 / $30 / $40 | Mac 上优秀的远程桌面软件。 |
| 免费 | 快速扫描目录大小和空间占用 | |
| IconWorkshop | 试用 / 购买 | 优秀的 ICO、ICON 制作软件，专业图标制作，编辑，转换工具 |
| $19 / $59 | 功能强大的数字音乐编辑器，是一个集声音编辑、播放、录制和转换的音频工具。 | |
| EasyRecovery | EasyRecovery 是由全球著名数据厂商 Kroll Ontrack 出品的一款数据文件恢复软件。支持恢复不同存储介质数据：硬盘、光盘、U盘、移动硬盘、数码相机、手机、Raid 文件恢复等，能恢复包括文档、表格、图片、音视频等各种文件。 | |
| DiskGenius | 一款专业级的数据恢复软件，算法精湛、功能强大！支持多种情况下的文件丢失、分区丢失恢复；支持文件预览；支持扇区编辑、RAID 恢复等高级数据恢复功能。 | |
| sagethumbs | 免费 | 预览 PSD 文件 |
| WebP Codec for Windows | 免费 | 预览 WebP 文件 |
| ventoy | 免费 | 多系统启动U盘解决方案 |
最近有服务器不时出现的CPU使用率超高，内存几乎被吃光，系统甚至自动kill掉一些进程，如sshd，vsftpd等。用top查看，PHP-CGI进程高挂不下，如下是解决方案：
一、进程跟踪
# top //找出CPU使用率高的进程PID
# strace -p PID //跟踪进程
# ll /proc/PID/fd //查看该进程在处理哪些文件
将有可疑的PHP代码修改之，如：file_get_contents没有设置超时时间。
二、内存分配
如果进程跟踪无法找到问题所在，再从系统方面找原因，会不会有可能内存不够用？据说一个较为干净的PHP-CGI打开大概20M-30M左右的内存，决定于PHP模块开启多少。
通过pmap指令查看PHP-CGI进程的内存使用情况
# pmap $(pgrep php-cgi |head -1)
按输出的结果，结合系统的内存大小，配置PHP-CGI的进程数（max_children）。
三、监控
最后，还可以通过监控与自动恢复的脚本保证服务的正常运转。下面是我用到的一些脚本：
只要一个php-cgi进程占用的内存超过 %1 就把它kill掉
#!/bin/sh
PIDS=`ps aux|grep php-cgi|grep -v grep|awk’{if($4>=1)print $2}’`
for PID in $PIDS
do
echo `date +%F….%T`>>/data/logs/phpkill.log
echo $PID >> /data/logs/phpkill.log
kill -9 $PID
done
检测php-fpm进程
#!/bin/bash
netstat -tnlp | grep “php-cgi” >> /dev/null #2&> /data/logs/php_fasle.log
if [ "$?" -eq "1" ];then #&& [ `netstat -tnlp | grep 9000 | awk '{ print $4}' | awk -F ":" '{print $2}'` -eq "1" ];then
/usr/local/webserver/php/sbin/php-fpm start
echo `date +%F….%T` “System memory OOM.Kill php-cgi. php-fpm service start. ” >> /data/logs/php_monitor.log
fi
通过http检测php执行
#!/bin/bash
status=`curl -s –head “http://127.0.0.1:8080/chk.php” | awk ‘/HTTP/ {print $2}’`
if [ $status != "200" -a $status != "304" ]; then
/usr/local/webserver/php/sbin/php-fpm restart
echo `date +%F….%T` “php-fpm service restart” >> /data/logs/php_monitor.log
fi