Безопасность сервера / Ступень 2 из 10 · шаг 6 из 7

После обновления

~25 мин

Не запущена Запускается обычно ~20 с

Ситуация

Портал отчётов на этом сервере — три службы из своих пакетов: lab-gateway (API), lab-reports (сами отчёты) и lab-metrics (статистика запросов). Коллега поставил обновления безопасности и ушёл домой. dpkg -l показывает новые версии, а сканер уязвимостей снова пометил сервер: уязвимый код всё ещё работает.

Задача

Ни одна служба портала не работает со старым кодом: в /proc/<PID>/maps их процессов нет удалённых файлов.
Все три службы активны и отвечают: curl http://127.0.0.1:8071/health, порты 8072 и 8073 — так же.
Перезапускай только службы, у которых в памяти старый код: каждый перезапуск рвёт соединения клиентов и сбрасывает то, что служба накопила в памяти. Машину не перезагружай.
Обновление остаётся на месте: версии пакетов не откатывай, файлы пакетов и юниты служб не правь.

Интернета на машине нет, всё нужное уже установлено. Команды администратора запускай через sudo.

Цели лабы

0 из 4

Ни одна служба портала не работает со старым кодом — в /proc/PID/maps нет удалённых файлов — ещё не проверялась
lab-gateway, lab-reports и lab-metrics активны и отвечают на /health — ещё не проверялась
Служба, которую обновление не задело, не перезапускалась, машина не перезагружалась — ещё не проверялась
Обновление на месте — версии пакетов новые, файлы пакетов и юниты служб не изменены — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Процессы · подобрано по лабе

lsof — открытые файлы и порты процессов

Шпаргалка

$_ — вставить в терминал

sudo lsof -i :5432 -nP кто на порту
sudo lsof +D /dir кто держит каталог (umount busy)
sudo lsof +L1 удалённые-но-открытые (место)
sudo lsof -p 1234 | wc -l сколько fd у процесса (утечка?)
sudo kill $(sudo lsof -t -i:8080) убить держащего порт

Ключ	Значение
`-i [:порт]`	сетевые сокеты (опц. по порту/хосту)
`-nP`	без DNS- и port-резолва (быстро, числа)
`-p PID`	файлы конкретного процесса
`-c name`	процессы по имени команды
`-u user`	по пользователю
`+D /dir`	рекурсивно по каталогу (что держит ФС)
`+L1`	файлы с <1 ссылкой (удалённые-но-открытые)
`-t`	только PID (для скриптов: `kill $(lsof -t ...)`)

Частые задачи

bash

sudo lsof -i :5432                # процесс на порту (альтернатива ss)
sudo lsof -i -nP                  # все сетевые сокеты (без резолва)
sudo lsof -iTCP -sTCP:LISTEN -nP  # только слушающие TCP
sudo lsof +D /mnt/data            # кто держит каталог (umount)
sudo lsof +L1                     # удалённые, но открытые файлы
sudo lsof -p 1234                 # всё, что открыл процесс 1234
sudo lsof -c nginx                # всё, что открыли процессы nginx
sudo lsof -u alice -a -i          # alice И сеть (-a = AND)
sudo kill $(sudo lsof -t -i:8080) # убить того, кто на порту 8080

Столбец FD и блокировки

text

student@ubuntu:~$ lsof /tmp/lk
COMMAND  PID    USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
flock   1094 student    3rW  REG  253,4        0 2703 /tmp/lk
sleep   1096 student    3r   REG  253,4        0 2703 /tmp/lk
flock   1112 student    3r   REG  253,4        0 2703 /tmp/lk

FD — номер дескриптора, затем режим: r — чтение, w — запись, u — оба. Третья буква — блокировка файла: W — на запись всего файла, R — на чтение всего файла, w и r — на часть файла. Вместо номера бывают cwd (текущий каталог), txt (файл программы), mem (файл в памяти).

Здесь flock 1094 держит блокировку (3rW), sleep 1096 — его потомок с тем же открытым файлом, а flock 1112 открыл файл и ждёт: буквы блокировки у него нет. Ждущих видно и в /proc/locks (см. proc-filesystem).

Удалённые файлы: +L1 и DEL

Файл, который удалили или заменили новым, живёт, пока его держит процесс — это удалённый открытый файл. lsof +L1 показывает открытые файлы, у которых не осталось имени на диске. Так выглядит служба, чей бинарь заменили при обновлении:

text

student@ubuntu:~$ sudo lsof +L1
COMMAND    PID USER  FD   TYPE DEVICE SIZE/OFF NLINK NODE NAME
demo-slee 4214 root txt    REG  253,4    35336     0 4464
  /usr/local/bin/demo-sleep (deleted)

NLINK 0 — имён у файла нет, txt — это файл программы.

Удалённую общую библиотеку в памяти процесса +L1 не показывает: такой файл не открыт, а отображён в память. У lsof по процессу он отмечен DEL в столбце FD:

text

student@ubuntu:~$ sudo lsof -p 3830 | grep -E 'COMMAND|DEL'
COMMAND  PID USER   FD   TYPE  DEVICE SIZE/OFF  NODE NAME
sleep   3830 root  DEL    REG   253,4           2727
  /usr/local/lib/libdemo.so.1

Те же файлы с пометкой (deleted) — в /proc/<PID>/maps (см. proc-filesystem). Заменённый файл освобождается только с перезапуском процесса.

df показывает «полно», du — нет

Удалённый, но открытый процессом файл не освобождает место. Найди: sudo lsof +L1 → перезапусти держащий процесс (см. disk-usage).

umount: target is busy

Что-то держит ФС: sudo lsof +D /mnt/data (или fuser -vm /mnt/data). Закрой процессы (или cd из каталога) и отмонтируй (см. mount).

Порт занят, кто — непонятно

sudo lsof -i :PORT -nP или ss -tlnp.

Процесс «утёк» файловыми дескрипторами

sudo lsof -p PID | wc -l — сколько открыто; сравни с лимитом ulimit -n. Постоянный рост = утечка fd в приложении.

lsof долго думает

Резолвит DNS/порты/маунты — добавь -nP, при зависших NFS — может висеть на маунте.