本篇文章為大家展示了如何在Linux系統(tǒng)中使用lsof命令，內(nèi)容簡(jiǎn)明扼要并且容易理解，絕對(duì)能使你眼前一亮，通過(guò)這篇文章的詳細(xì)介紹希望你能有所收獲。

成都創(chuàng)新互聯(lián)主要從事網(wǎng)站制作、做網(wǎng)站、網(wǎng)頁(yè)設(shè)計(jì)、企業(yè)做網(wǎng)站、公司建網(wǎng)站等業(yè)務(wù)。立足成都服務(wù)榮昌,十多年網(wǎng)站建設(shè)經(jīng)驗(yàn),價(jià)格優(yōu)惠、服務(wù)專業(yè),歡迎來(lái)電咨詢建站服務(wù):13518219792

lsof(list open files)是一個(gè)查看進(jìn)程打開(kāi)的文件的工具。

在 linux 系統(tǒng)中，一切皆文件。通過(guò)文件不僅僅可以訪問(wèn)常規(guī)數(shù)據(jù)，還可以訪問(wèn)網(wǎng)絡(luò)連接和硬件。所以 lsof 命令不僅可以查看進(jìn)程打開(kāi)的文件、目錄，還可以查看進(jìn)程監(jiān)聽(tīng)的端口等 socket 相關(guān)的信息。本文將介紹 lsof 命令的基本用法，本文中 demo 的演示環(huán)境為 ubuntu 18.04。

常用選項(xiàng)

-a 指示其它選項(xiàng)之間為與的關(guān)系
-c <進(jìn)程名> 輸出指定進(jìn)程所打開(kāi)的文件
-d <文件描述符> 列出占用該文件號(hào)的進(jìn)程
+d <目錄> 輸出目錄及目錄下被打開(kāi)的文件和目錄(不遞歸)
+D <目錄> 遞歸輸出及目錄下被打開(kāi)的文件和目錄
-i <條件> 輸出符合條件與網(wǎng)絡(luò)相關(guān)的文件
-n 不解析主機(jī)名
-p <進(jìn)程號(hào)> 輸出指定 PID 的進(jìn)程所打開(kāi)的文件
-P 不解析端口號(hào)
-t 只輸出 PID
-u 輸出指定用戶打開(kāi)的文件
-U 輸出打開(kāi)的 UNIX domain socket 文件
-h 顯示幫助信息
-v 顯示版本信息

基本輸出

如果不帶任何選項(xiàng)執(zhí)行 lsof 命令，會(huì)輸出系統(tǒng)中所有 active 進(jìn)程打開(kāi)的所有文件，結(jié)果就是我們被輸出的信息所淹沒(méi)，這沒(méi)有任何的意義。我們先讓 lsof 命令輸出當(dāng)前 Bash 進(jìn)程打開(kāi)的文件，并截取其中的一部分結(jié)果來(lái)介紹輸出內(nèi)容中都包含哪些信息：

COMMAND：程序的名稱
PID：進(jìn)程標(biāo)識(shí)符
USER：進(jìn)程所有者
FD：文件描述符，應(yīng)用程序通過(guò)文件描述符識(shí)別該文件
TYPE：文件類型，如 DIR、REG 等
DEVICE：以逗號(hào)分隔設(shè)備編號(hào)
SIZE：文件的大小(bytes)
NODE：索引節(jié)點(diǎn)(文件在磁盤(pán)上的標(biāo)識(shí))
NAME：打開(kāi)文件的確切名稱

下面簡(jiǎn)單介紹一下 FD 列和 TYPE 列中的常見(jiàn)內(nèi)容。
FD 列中的常見(jiàn)內(nèi)容有 cwd、rtd、txt、mem 和一些數(shù)字等等。其中 cwd 表示當(dāng)前的工作目錄；rtd 表示根目錄；txt 表示程序的可執(zhí)行文件；mem 表示內(nèi)存映射文件：

還有一部分 FD 是以數(shù)字表示的，比如標(biāo)準(zhǔn)輸入輸出文件：

數(shù)字后面的字母表示進(jìn)程對(duì)該文件的讀寫(xiě)模式，比如上圖中的 u 表示該文件被打開(kāi)并處于讀取/寫(xiě)入模式。除了 u，還有 r 表示只讀模式，w 表示只寫(xiě)模式，還可以同時(shí)應(yīng)用 W 表示該進(jìn)程擁有對(duì)文件寫(xiě)操作的鎖。下圖是截取的 docker daemon 進(jìn)程打開(kāi)的文件列表，其中顯示了 FD 的不同模式：

TYPE 列中常見(jiàn)的 REG 和 DIR 分別表示普通文件和目錄。而 CHR 和 BLK 則分別表示字符和塊設(shè)備，unix、fifo 和 IPv4/IPv6 分別表示 UNIX domain 套接字、先進(jìn)先出(FIFO)隊(duì)列和 IPv4/IPv6 套接字。

下面我們來(lái)介紹一些 lsof 命令的常見(jiàn)用法。

查看哪些進(jìn)程打開(kāi)了某個(gè)文件

直接指定文件的名稱作為 lsof 的參加就可以查看哪些進(jìn)程打開(kāi)了這個(gè)文件，下面的命令查詢打開(kāi)了 /bin/bash 文件的進(jìn)程：

$ sudo lsof /bin/bash

除了普通文件，也可以是設(shè)備等文件(下面命令的輸出很長(zhǎng)，圖示只是截取的一小部分)：

$ sudo lsof /dev/sda1

查看哪些進(jìn)程打開(kāi)了某個(gè)目錄及目錄下的文件

這里分兩種情況，+d 選項(xiàng)不執(zhí)行遞歸查詢，只查找那些打開(kāi)了指定目錄以及指定目錄下文件和目錄的進(jìn)程，比如：

$ sudo lsof +d /var/log

而 +D 選項(xiàng)則會(huì)對(duì)指定的目錄進(jìn)行遞歸：

$ sudo lsof +D /var/log

在卸載文件系統(tǒng)時(shí)，如果有進(jìn)程打開(kāi)了該文件系統(tǒng)中的文件或目錄，卸載操作就會(huì)失敗。因此最好在卸載文件系統(tǒng)前通過(guò) lsof +D 檢查文件系統(tǒng)的掛載點(diǎn)，殺掉相關(guān)的進(jìn)程然后再執(zhí)行卸載操作。

查看某個(gè)進(jìn)程打開(kāi)的所有文件

通過(guò) -p 選項(xiàng)并指定進(jìn)程的 PID 可以輸出該進(jìn)程打開(kāi)的所有文件。比如我們想要查看 cron 程序打開(kāi)的文件，可以先用 ps -C cron 命令查出進(jìn)程的 PID：

然后把該 PID 傳遞給 lsof 命令的 -p 選項(xiàng)：

$ sudo lsof -p 1152

組合多個(gè)選項(xiàng)

如果為 lsof 命令指定多個(gè)選項(xiàng)，這些選項(xiàng)間默認(rèn)是或的關(guān)系。也就是說(shuō)滿足任何一個(gè)選項(xiàng)的結(jié)果都會(huì)被輸出。可以添加額外的 -a 選項(xiàng)，它的作用就是讓其它選項(xiàng)之間的關(guān)系變?yōu)榕c，比如下面的命令：

$ sudo lsof -a -p $$ -d0,1,2

其中的 -p 選項(xiàng)指定了當(dāng)前進(jìn)程的 PID，而 -d 選項(xiàng)則用來(lái)指定進(jìn)程打開(kāi)的文件描述符(可以通過(guò)逗號(hào)分隔多個(gè)文件描述符)。添加 -a 選項(xiàng)后，結(jié)果輸出為當(dāng)前進(jìn)程打開(kāi)的文件描述符為 0、1、2 的文件。
說(shuō)明，-a 選項(xiàng)的使用有很多條件，具體請(qǐng)參考 lsof man page。

查看指定名稱的程序打開(kāi)的文件

通過(guò) -c 選項(xiàng)可以匹配進(jìn)程運(yùn)行的程序(可執(zhí)行文件)名稱。比如我們要查找以字母 cr 開(kāi)頭的程序打開(kāi)的文件列表：

$ sudo lsof -c cr

還可以同時(shí)指定多個(gè) -c 選項(xiàng)，它們之間是或的關(guān)系。
如果想對(duì) -c 選項(xiàng)的條件取反，只要在字符串前添加符號(hào) ^ 就可以了，比如：

$ sudo lsof -c ^cr

-c 選項(xiàng)也支持正則表達(dá)式，比如下面的命令可以過(guò)濾出以 cra 和 cro 開(kāi)頭的程序打開(kāi)的文件：

$ sudo lsof -c /cr[ao]/

查看被打開(kāi)的與網(wǎng)絡(luò)相關(guān)的文件

-i 選項(xiàng)用來(lái)查看被打開(kāi)的和網(wǎng)絡(luò)相關(guān)的文件，其參數(shù)的格式如下：
[46][protocol][@hostname|hostaddr][:service|port]
46 表示 IP 協(xié)議的版本
protocol 表示網(wǎng)絡(luò)協(xié)議的名稱，比如 TCP 或 UDP
hostname 或 hostaddr 表示主機(jī)地址
service 指 /etc/services 中的名稱，比如 smtp 或多個(gè)服務(wù)的列表
port 表示端口號(hào)，可以指定一個(gè)或多個(gè)

-i 選項(xiàng)默認(rèn)會(huì)同時(shí)輸出 IPv4 和 IPv6 打開(kāi)的文件：

$ sudo lsof -i

只列出 IPv4 或 IPv6 打開(kāi)的文件

$ sudo lsof -i 4
$ sudo lsof -i 6

列出與 22 號(hào)端口相關(guān)的文件

$ sudo lsof -i:22

列出指定范圍內(nèi)被打開(kāi)的 TCP 端口

$ sudo -i TCP:1-1024

查看被打開(kāi)的 UNIX domain socket 文件

-U 選項(xiàng)輸出打開(kāi)的 UNIX domain socket 文件，這里我們結(jié)合 -c 選項(xiàng)來(lái)查看 ssh 服務(wù)打開(kāi)的 UNIX domain socket 文件：

$ sudo lsof -a -c sshd -U

查看某個(gè)用戶打開(kāi)的所有文件

-u 選項(xiàng)可以指定用戶名或 user ID，并且和 -c 選項(xiàng)一樣，可以通過(guò)逗號(hào)分隔多個(gè)用戶名稱或 user ID，也可以通過(guò)符號(hào) ^ 對(duì)條件取反。
查看某個(gè)用戶打開(kāi)的所有文件

$ sudo lsof -u syslog

查看用戶 nick 打開(kāi)的網(wǎng)絡(luò)相關(guān)的文件

$ sudo lsof -a -i -u nick

排除某個(gè)用戶

$ sudo lsof -i -u ^nick

注意：在有排除條件時(shí)，不需要指定 -a 選項(xiàng)。

殺掉某個(gè)用戶打開(kāi)了文件的所有進(jìn)程

$ kill -9 $(lsof -t -u nick)

該命令中的 -t 選項(xiàng)讓 lsof 命令只輸出進(jìn)程的 PID：

統(tǒng)計(jì)系統(tǒng)打開(kāi)的文件總數(shù)

$ sudo lsof -P -n | wc -l

命令中的 -P 選項(xiàng)表示不解析端口號(hào)，-n 選項(xiàng)表示不解析主機(jī)名，這兩個(gè)選項(xiàng)主要的目的是為了提升 lsof 命令的執(zhí)行速度。wc -l 命令則用來(lái)統(tǒng)計(jì) lsof 命令輸出的行數(shù)。

恢復(fù)刪除的文件

如果我們一不小心刪除了文件，而又知道這個(gè)文本被某個(gè)進(jìn)程打開(kāi)著，就可以通過(guò) lsof 命令來(lái)恢復(fù)該文件。具體的原理為：
當(dāng)進(jìn)程打開(kāi)了某個(gè)文件時(shí)，只要該進(jìn)程保持打開(kāi)該文件，即使將文件刪除，它依然存在于磁盤(pán)中。進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以通過(guò)打開(kāi)該文件時(shí)提供給它的文件描述符進(jìn)行讀取和寫(xiě)入。除了該進(jìn)程之外，這個(gè)文件是不可見(jiàn)的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn)。

進(jìn)程打開(kāi)的文件描述符就存放在 /proc/PID/fd 目錄下。/proc 目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤(pán)中，因此當(dāng)我們對(duì)這些文件進(jìn)行讀取和寫(xiě)入時(shí)，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息。lsof 程序就是使用這些信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來(lái)產(chǎn)生其輸出。所以 lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息。也就是說(shuō)我們通過(guò)訪問(wèn)進(jìn)程的文件描述符可以找到該文件的相關(guān)信息。

下面的 demo 演示如何通過(guò) lsof 命令恢復(fù)被誤刪的 /var/log/syslog 文件。

先刪除日志文件 /var/log/syslog，記著要提前備份一下這個(gè)文件，以防萬(wàn)一：

$ sudo rm /var/log/syslog

從上面的信息可以看到 PID 為 1141 的進(jìn)程打開(kāi)著該文件，文件描述符為 7，并且顯示該文件已經(jīng)被刪除了。接下來(lái)我們通過(guò) 1141 號(hào)進(jìn)程的文件文件描述符來(lái)查看該文件的內(nèi)容：

$ sudo tail -n 5 /proc/1141/fd/7

上圖說(shuō)明文件 /var/log/syslog 文件的內(nèi)容還在，并且可以通過(guò)文件描述符訪問(wèn)，接下來(lái)通過(guò) IO 重定向的方式重新創(chuàng)建 /var/log/syslog 文件就可以了：

$ sudo sh -c 'cat /proc/1141/fd/7 > /var/log/syslog'

然后修復(fù)文件的權(quán)限屬性并重啟 rsyslog 服務(wù)：

$ sudo chown syslog:adm /var/log/syslog
$ sudo systemctl restart rsyslog.service

這樣就完成了 /var/log/syslog 文件的恢復(fù)工作。對(duì)于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫(kù)文件，都可以通過(guò)這種方式來(lái)恢復(fù)。

幫助

-h 選項(xiàng)會(huì)輸出 lsof 命令的幫助信息：

上述內(nèi)容就是如何在Linux系統(tǒng)中使用lsof命令，你們學(xué)到知識(shí)或技能了嗎？如果還想學(xué)到更多技能或者豐富自己的知識(shí)儲(chǔ)備，歡迎關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道。

本文題目：如何在Linux系統(tǒng)中使用lsof命令-創(chuàng)新互聯(lián)
文章出自：http://www.chinadenli.net/article42/pdhec.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站建設(shè)、品牌網(wǎng)站制作、域名注冊(cè)、虛擬主機(jī)、小程序開(kāi)發(fā)、網(wǎng)站維護(hù)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)