php-fpm очень медленно отдает страницы, но чаще не отдает

Создай файл с phpinfo и посмотри, что выдает в ответ на запрос

phpinfo.php

<?php
phpinfo();

Exception thrown without a stack frame in Unknown on line 0

Не сталкивался, но если я правильно понял, код выполняется не из файлов сайта. Где-то тебя поимели и сейчас потоки php-fpm работают по задачам кого-то постороннего

А вы, кхм, место на диске проверяли? Ну там df -h например.

попробуй собрать mod_security для nginx. он будет ловить попытки внедрения кода и прочую нездоровую фигню

места на диске 80 процентов свободно, в районе 300 гигов

это задача на 5 с плюсом, сейчас важно восстановить работоспособность

https://wer.ru/w.php

так будет быстрее, потом закрою его снаружи. это же вы попросили?

как это проверить?

У вас сессии сохраняются в разделяемой памяти, покажите пожалуйста вывод команды free.

Присоединюсь к вопросу. пхп7.4, дебиан 11, такая же петрушка. Вроде бы работает, но периодически уходит в себя с такими же симптомами, в процессах остаются лишние (зависшие?) воркеры php-fpm и таймауты в логах nginx. Нагрузка околонулевая. Зловреды исключены, доступ в интернет с машины отсутствует.

А можно временно отключить php.ini вот это:

auto_prepend_file	/var/www/wer.ru/htdocs/bitrix/modules/security/tools/start.php

У php-fpm есть status page. метрики с нее хорошо бы забирать в систему мониторинга. Плюс логирование медленных запросов (slowlog) в том же php-fpm. Плюс mod_security хотя бы в режиме detect. Это даст информацию для изучения

сейчас важно восстановить работоспособность

Мне нечего предложить, кроме перезапуска php-fpm. Возможно, на какое-то время поможет. Но если не найти и не устранить причину, это не сильно поможет. «Какое-то время» может быть и секундами.

:~$ free

total used free shared buff/cache available Mem:
131914432 54113848 32159004 12903740 45641580 63638488

Swap:
62465020 0 62465020

в целом секунды и получаются, на нас атака идет, сейчас пытаюсь через хостера включить антиддос какой нибудь, может поможет. мне просто не ясно почему я эту атаку не вижу нигде кроме access.log у nginx. Логи из сообщения выше сейчас предоставлю

Хостер вряд ли чем-то поможет, как и вопросы тут, т.к. там скорее всего идет подмена source IP поэтому хостер не может трафик ни промаркировать ни дропнуть. А общаться с AS-кой типа через вас ддос идет зачастую бесперспективно. Проще, хоть и дороже - купить на 1 месяц антиддос у того же DDoS-Guard.

Поставь какой-нибудь cloudflare перед всем, что у тебя есть. У тебя же есть отдельно стоящие машины под фронты?

мне просто не ясно почему я эту атаку не вижу нигде кроме access.log у nginx

метрики в систему мониторинга. логи в elk или loki. всё это завести в grafana. будешь видеть. само собой, всё это на другой ВМ. та же самая не потянет

а без мониторинга ты обнаруживаешь суслика только по съеденному урожаю

раз уж ты стал кому-то интересен настолько, что заказали дос, то найди уже время на сборку mod_security . у тебя будут его логи, в которых будут видны попытки эксплутации уязвимостей. опять же, ты их будешь замечать не только по упавшему сайту. кроме того, он может не только детектить эти попытки, но и обрубать их