lsof命令詳解

不一樣的天空w發表於2017-11-20
一:lsof介紹
lsof 是 linux 下的一個非常實用的系統級的監控、診斷工具。
它的意思是 List Open Files,很容易你就記住了它是 “ls + of”的組合,它可以用來列出被各種程式開啟的檔案資訊,記住:linux 下 “一切皆檔案”,包括但不限於 pipes, sockets, directories, devices, 等等。
因此,使用 lsof,你可以獲取任何被開啟檔案的各種資訊,只需輸入 lsof 就可以生成大量的資訊,因為 lsof 需要訪問核心記憶體和各種檔案,所以必須以 root 使用者的身份執行它才能夠充分地發揮其功能。

適應條件:lsof訪問的是核心檔案和各種檔案,所以必須以root使用者的身份執行才能充分發揮其功能。

lsof [選項] [絕對路徑的檔名]

示例:
[root@localhost ~]# lsof /usr/sbin/httpd
COMMAND  PID   USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
httpd   6279   root txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6281 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6282 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6283 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6284 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6285 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6286 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6287 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6288 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6546 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd

每行顯示一個開啟的檔案,預設如果後面不跟任何東西,將開啟系統開啟的所有檔案
COMMAND :程式名稱
PID:程式識別符號
USER:程式所有者
FD:檔案描述符,應用程式透過檔案描述符識別到該檔案。如cwd、txt等
TYPE:檔案型別,如DIR,REG
DEVICE:指定磁碟名稱
SIZE:檔案大小
NODE:索引節點(檔案在磁碟上的標識)
NAME:開啟檔案的確切名稱

補充:FD列中的檔案描述cwd值表示應用程式的當前工作目錄,這是該程式啟動的目錄,除非它本身對這個目錄進行更改。txt型別的是程式程式碼,如應用程式二進位制檔案本身或者共享庫。其數值表示應用程式的檔案描述符,這是開啟檔案時一個返回的一個整數。

如下示例:
COMMAND   PID       USER    FD      TYPE     DEVICE    SIZE/OFF   NODE NAME
lsof      6660      root    0u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    1u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    2u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    3r      DIR        0,3        0          1 /proc
lsof      6660      root    4r      DIR        0,3        0      36358 /proc/6660/fd
lsof      6660      root    5w     FIFO        0,8      0t0      36363 pipe
lsof      6660      root    6r     FIFO        0,8      0t0      36364 pipe
lsof      6661      root  cwd       DIR        8,2     4096     130562 /root
lsof      6661      root  rtd       DIR        8,2     4096          2 /
lsof      6661      root  txt       REG        8,2   154356     415242 /usr/sbin/lsof
lsof      6661      root  mem       REG        8,2  1907156     914957 /lib/libc-2.12.so
lsof      6661      root  mem       REG        8,2    17892     914963 /lib/libdl-2.12.so
lsof      6661      root  mem       REG        8,2   141080     914950 /lib/ld-2.12.so
lsof      6661      root  mem       REG        8,2   120780     915040 /lib/libselinux.so.1
lsof      6661      root  mem       REG        8,2 99154448     395123 /usr/lib/locale/locale-archive
lsof      6661      root    4r     FIFO        0,8      0t0      36363 pipe
lsof      6661      root    7w     FIFO        0,8      0t0      36364 pipe

其中u表示該檔案被開啟處於讀取\寫入模式,而不是隻讀或只寫模式;r 只讀 ; w 只寫 ;W表示該應用程式具有對整個檔案的寫鎖(確保每次只能開啟一次應用程式例項)
初始開啟每個應用程式時,都具有三個檔案描述符,從0到2,分別表示標準輸入、輸出和錯誤流。因此,大多數應用程式所開啟的FD都是從3開始!

TYPE:REG、DIR、CHR、BLK、UNIX、FIFO、IPV


二、應用lsof之恢復刪除檔案
當系統中的某個檔案被意外刪除了,只要這個時候系統中有程式正在訪問這個檔案,那麼可以透過lsof 從/proc目錄下恢復檔案的內容

假如/var/log/messages檔案被刪了,恢復這個檔案的方法:

首先使用lsof 檢視當前是否有程式開啟/var/log/messages檔案,
#lsof |grep /var/log/messages

[root@localhost ~]# rm /var/log/messages
rm:是否刪除普通檔案 "/var/log/messages"?y

[root@localhost ~]# lsof |grep /var/log/messages
rsyslogd  5925      root    1w      REG        8,2     4369     266184 /var/log/messages (deleted)

從上面的資訊可以看到PID 5925(syslogd)開啟檔案的檔案描述符為1,同時發現/var/log/messages已經被刪除了
因此可以透過/var/log/messages檔案描述符來檢視檔案資訊

cat /pro/5925/fd/1
[root@localhost ~]# cat /proc/5925/fd/1
May 12 08:04:11 localhost kernel: hpet1: lost 3 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 6 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 1 rtc interrupts
May 12 09:25:33 localhost kernel: usb 2-2.1: USB disconnect, device number 10
May 12 09:25:33 localhost kernel: eth0: link down
May 12 09:25:33 localhost kernel: usb 2-2.1: new full speed USB device number 11 using uhci_hcd
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device found, idVendor=0e0f, idProduct=0008
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
May 12 09:25:33 localhost kernel: usb 2-2.1: Product: Virtual Bluetooth Adapter
May 12 09:25:33 localhost kernel: usb 2-2.1: Manufacturer: VMware
May 12 09:25:33 localhost kernel: usb 2-2.1: SerialNumber: 000650268328
May 12 09:25:33 localhost kernel: usb 2-2.1: configuration #1 chosen from 1 choice

最後透過重定向的方法恢復被刪除的/var/log/messages
cat /pro/5925/fd/1 >/var/log/messages

三、lsof命令詳解:
3.1檢視命令詳解
lsof -h

3.2列出所有開啟的檔案
# lsof

不帶任何引數執行lsof會列出所有程式開啟的所有檔案。

3.3找出誰在使用某個檔案

# lsof /path/to/file

只需要執行檔案的絕對路徑,lsof就會列出所有使用這個檔案的程式,你也可以列出多個檔案,lsof會列出所有使用這些檔案的程式

你也可以一次制定多個檔案:

# lsof /path/to/file1 /path/to/file2

3.4遞迴查詢某個目錄中所有開啟的檔案

# lsof +D /usr/lib

加上+D引數,lsof會對指定目錄進行遞迴查詢,注意這個引數要比grep版本慢:

# lsof | grep '/usr/lib'

之所以慢是因為+D首先查詢所有的檔案,然後一次性輸出。

3.5列出某個使用者開啟的所有檔案

# lsof -u pkrumins

-u選項限定只列出所有被使用者pkrumins開啟的檔案,你可以透過逗號指定多個使用者

# lsof -u rms,root

這條命令會列出所有rms和root使用者開啟的檔案。

你也可以像下面這樣使用多個-u做同樣的事情:

# lsof -u rms -u root

3.6查詢某個程式開啟的所有檔案

# lsof -c apache

-c選項限定只列出以apache開頭的程式開啟的檔案:

所以你可以不用像下面這樣寫:

# lsof | grep foo

而使用下面這個更簡短的版本:

# lsof -c foo

事實上,你可以只制定程式名稱的開頭:

# lsof -c apa

這會列出所有以apa開頭的程式開啟的檔案

你同樣可以制定多個-c引數:

# lsof -c apache -c python

這會列出所有由apache和python開啟的檔案

3.7
列出所有由某個使用者或某個程式開啟的檔案

# lsof -u pkrumins -c apache

你也可以組合使用多個選項,這些選項預設進行或關聯,也就是說上面的命令會輸入由pkrumins使用者或是apache程式開啟的檔案。

3.8 列出所有由一個使用者與某個程式開啟的檔案

# lsof -a -u pkrumins -c bash

-a引數可以將多個選項的組合條件由或變為與,上面的命令會顯示所有由pkrumins使用者以及bash程式開啟的檔案。

3.9列出除root使用者外的所有使用者開啟的檔案

# lsof -u ^root

注意root前面的^符號,它執行取反操作,因此lsof會列出所有root使用者之外的使用者開啟的檔案。


3.10 列出所有由某個PID對應的程式開啟的檔案


# lsof -p 1

-p選項讓你可以使用程式id來過濾輸出。

記住你也可以用逗號來分離多個pid

# lsof -p 450,980,333

列出所有程式開啟的檔案除了某個pid的

# lsof -p ^1

同前面的使用者一樣,你也可以對-p選項使用^來進行取反。

3.11 列出所有網路連線

# lsof -i

lsof的-i選項可以列出所有開啟了網路套接字(TCP和UDP)的程式。

3.12 列出所有TCP網路連線

# lsof -i tcp

也可以為-i選項加上引數,比如tcp,tcp選項會強制lsof只列出開啟TCP sockets的程式。

3.13 列出所有UDP網路連線

# lsof -i udp

同樣udp讓lsof只列出使用UDP socket的程式。

3.14 找到使用某個埠的程式

# lsof -i :25

:25和-i選項組合可以讓lsof列出佔用TCP或UDP的25埠的程式。

你也可以使用/etc/services中制定的埠名稱來代替埠號,比如:

# lsof -i :smtp

找到使用某個udp埠號的程式

# lsof -i udp:53

同樣的,也可以找到使用某個tcp埠的程式:

# lsof -i tcp:80

3.15 找到某個使用者的所有網路連線

# lsof -a -u hacker -i

使用-a將-u和-i選項組合可以讓lsof列出某個使用者的所有網路行為。

3.16 列出所有NFS(網路檔案系統)檔案

# lsof -N

這個引數很好記,-N就對應NFS。

3.17 列出所有UNIX域Socket檔案

# lsof -U

這個選項也很好記,-U就對應UNIX。

3.18 列出所有對應某個組id程式

# lsof -g 1234

程式組用來來邏輯上對程式進行分組,這個例子查詢所有PGID為1234的程式開啟的檔案。

3.19 列出所有與某個描述符關聯的檔案


# lsof -d 2

這個命令會列出所有以描述符2開啟的檔案。

你也可以為描述符指定一個範圍:

# lsof -d 0-2

這會列出所有描述符為0,1,2的檔案。

-d選項還支援其它很多特殊值,下面的命令列出所有記憶體對映檔案

# lsof -d mem

txt則列出所有載入在記憶體中並正在執行的程式:

# lsof -d txt

3.20 輸出使用某些資源的程式pid

# lsof -t -i

-t選項輸出程式的PID你可以將它和-i選項組合輸出使用某個埠的程式的PID下面的命令將會殺掉所有使用網路的程式

# kill -9 'lsof -t -i'

3.21 迴圈列出檔案

# lsof -r 1

-r選項讓lsof可以迴圈列出檔案直到被中斷,引數1的意思是每秒鐘重複列印一次,這個選項最好同某個範圍比較小的查詢組合使用,比如用來監測網路活動:

# lsof -r 1 -u john -i -a

四、如何安裝lsof?

許多Unix系統都內建了lsof,如果你的系統沒有安裝,你可以從這裡直接下載原始碼:~abe/。

BSD系統有一個類似的工具可以做同樣的事情,叫做fstat。

你可以透過man lsof來了解關於lsof的完整文件,或者透過lsof -h檢視。



來自 “ ITPUB部落格 ” ,連結:http://blog.itpub.net/31397003/viewspace-2147485/,如需轉載,請註明出處,否則將追究法律責任。