Linux lsof命令的基本用法

lsof(list open files)是一個(gè)查看進(jìn)程打開(kāi)的文件的工具。

在 linux 系統(tǒng)中，一切皆文件。通過(guò)文件不僅僅可以訪問(wèn)常規(guī)數(shù)據(jù)，還可以訪問(wèn)網(wǎng)絡(luò)連接和硬件。所以 lsof 命令不僅可以查看進(jìn)程打開(kāi)的文件、目錄，還可以查看進(jìn)程監(jiān)聽(tīng)的端口等 socket 相關(guān)的信息。本文將介紹 lsof 命令的基本用法，本文中 demo 的演示環(huán)境為 ubuntu 18.04。

常用選項(xiàng)

-a指示其它選項(xiàng)之間為與的關(guān)系
-c<進(jìn)程名> 輸出指定進(jìn)程所打開(kāi)的文件
-d<文件描述符> 列出占用該文件號(hào)的進(jìn)程
+d<目錄> 輸出目錄及目錄下被打開(kāi)的文件和目錄(不遞歸)
+D<目錄> 遞歸輸出及目錄下被打開(kāi)的文件和目錄
-i<條件> 輸出符合條件與網(wǎng)絡(luò)相關(guān)的文件
-n不解析主機(jī)名
-p<進(jìn)程號(hào)> 輸出指定 PID 的進(jìn)程所打開(kāi)的文件
-P不解析端口號(hào)
-t只輸出 PID
-u輸出指定用戶打開(kāi)的文件
-U輸出打開(kāi)的 UNIX domain socket 文件
-h顯示幫助信息
-v顯示版本信息

基本輸出

如果不帶任何選項(xiàng)執(zhí)行 lsof 命令，會(huì)輸出系統(tǒng)中所有 active 進(jìn)程打開(kāi)的所有文件，結(jié)果就是我們被輸出的信息所淹沒(méi)，這沒(méi)有任何的意義。我們先讓 lsof 命令輸出當(dāng)前 Bash 進(jìn)程打開(kāi)的文件，并截取其中的一部分結(jié)果來(lái)介紹輸出內(nèi)容中都包含哪些信息：

COMMAND：程序的名稱
PID：進(jìn)程標(biāo)識(shí)符
USER：進(jìn)程所有者
FD：文件描述符，應(yīng)用程序通過(guò)文件描述符識(shí)別該文件
TYPE：文件類型，如 DIR、REG 等
DEVICE：以逗號(hào)分隔設(shè)備編號(hào)
SIZE：文件的大小(bytes)
NODE：索引節(jié)點(diǎn)(文件在磁盤(pán)上的標(biāo)識(shí))
NAME：打開(kāi)文件的確切名稱

下面簡(jiǎn)單介紹一下 FD 列和 TYPE 列中的常見(jiàn)內(nèi)容。
FD 列中的常見(jiàn)內(nèi)容有 cwd、rtd、txt、mem 和一些數(shù)字等等。其中 cwd 表示當(dāng)前的工作目錄；rtd 表示根目錄；txt 表示程序的可執(zhí)行文件；mem 表示內(nèi)存映射文件：

還有一部分 FD 是以數(shù)字表示的，比如標(biāo)準(zhǔn)輸入輸出文件：

數(shù)字后面的字母表示進(jìn)程對(duì)該文件的讀寫(xiě)模式，比如上圖中的 u 表示該文件被打開(kāi)并處于讀取/寫(xiě)入模式。除了 u，還有 r 表示只讀模式，w 表示只寫(xiě)模式，還可以同時(shí)應(yīng)用 W 表示該進(jìn)程擁有對(duì)文件寫(xiě)操作的鎖。下圖是截取的 docker daemon 進(jìn)程打開(kāi)的文件列表，其中顯示了 FD 的不同模式：

TYPE 列中常見(jiàn)的 REG 和 DIR 分別表示普通文件和目錄。而 CHR 和 BLK 則分別表示字符和塊設(shè)備，unix、fifo 和 IPv4/IPv6 分別表示 UNIX domain 套接字、先進(jìn)先出(FIFO)隊(duì)列和 IPv4/IPv6 套接字。

下面我們來(lái)介紹一些 lsof 命令的常見(jiàn)用法。

查看哪些進(jìn)程打開(kāi)了某個(gè)文件

直接指定文件的名稱作為 lsof 的參加就可以查看哪些進(jìn)程打開(kāi)了這個(gè)文件，下面的命令查詢打開(kāi)了 /bin/bash 文件的進(jìn)程：

$ sudo lsof /bin/bash

除了普通文件，也可以是設(shè)備等文件(下面命令的輸出很長(zhǎng)，圖示只是截取的一小部分)：

$ sudo lsof /dev/sda1

查看哪些進(jìn)程打開(kāi)了某個(gè)目錄及目錄下的文件

這里分兩種情況，+d 選項(xiàng)不執(zhí)行遞歸查詢，只查找那些打開(kāi)了指定目錄以及指定目錄下文件和目錄的進(jìn)程，比如：

$ sudo lsof +d /var/log

而+D 選項(xiàng)則會(huì)對(duì)指定的目錄進(jìn)行遞歸：

$ sudo lsof +D /var/log

在卸載文件系統(tǒng)時(shí)，如果有進(jìn)程打開(kāi)了該文件系統(tǒng)中的文件或目錄，卸載操作就會(huì)失敗。因此最好在卸載文件系統(tǒng)前通過(guò) lsof +D 檢查文件系統(tǒng)的掛載點(diǎn)，殺掉相關(guān)的進(jìn)程然后再執(zhí)行卸載操作。

查看某個(gè)進(jìn)程打開(kāi)的所有文件

通過(guò) -p 選項(xiàng)并指定進(jìn)程的 PID 可以輸出該進(jìn)程打開(kāi)的所有文件。比如我們想要查看 cron 程序打開(kāi)的文件，可以先用 ps -C cron 命令查出進(jìn)程的 PID：

然后把該 PID 傳遞給 lsof 命令的 -p 選項(xiàng)：

$ sudo lsof -p 1152

組合多個(gè)選項(xiàng)

如果為 lsof 命令指定多個(gè)選項(xiàng)，這些選項(xiàng)間默認(rèn)是或的關(guān)系。也就是說(shuō)滿足任何一個(gè)選項(xiàng)的結(jié)果都會(huì)被輸出?？梢蕴砑宇~外的 -a 選項(xiàng)，它的作用就是讓其它選項(xiàng)之間的關(guān)系變?yōu)榕c，比如下面的命令：

$ sudo lsof -a -p $$ -d0,1,2

其中的 -p 選項(xiàng)指定了當(dāng)前進(jìn)程的 PID，而 -d 選項(xiàng)則用來(lái)指定進(jìn)程打開(kāi)的文件描述符(可以通過(guò)逗號(hào)分隔多個(gè)文件描述符)。添加 -a 選項(xiàng)后，結(jié)果輸出為當(dāng)前進(jìn)程打開(kāi)的文件描述符為 0、1、2 的文件。
說(shuō)明，-a 選項(xiàng)的使用有很多條件，具體請(qǐng)參考 lsof man page。

查看指定名稱的程序打開(kāi)的文件

通過(guò) -c 選項(xiàng)可以匹配進(jìn)程運(yùn)行的程序(可執(zhí)行文件)名稱。比如我們要查找以字母 cr 開(kāi)頭的程序打開(kāi)的文件列表：

$ sudo lsof -c cr

還可以同時(shí)指定多個(gè) -c 選項(xiàng)，它們之間是或的關(guān)系。
如果想對(duì) -c 選項(xiàng)的條件取反，只要在字符串前添加符號(hào) ^ 就可以了，比如：

$ sudo lsof -c ^cr

-c 選項(xiàng)也支持正則表達(dá)式，比如下面的命令可以過(guò)濾出以 cra 和 cro 開(kāi)頭的程序打開(kāi)的文件：

$ sudo lsof -c /cr[ao]/

查看被打開(kāi)的與網(wǎng)絡(luò)相關(guān)的文件

-i 選項(xiàng)用來(lái)查看被打開(kāi)的和網(wǎng)絡(luò)相關(guān)的文件，其參數(shù)的格式如下：
[46][protocol][@hostname|hostaddr][:service|port]
46表示 IP 協(xié)議的版本
protocol表示網(wǎng)絡(luò)協(xié)議的名稱，比如 TCP 或 UDP
hostname或 hostaddr 表示主機(jī)地址
service指 /etc/services 中的名稱，比如 smtp 或多個(gè)服務(wù)的列表
port表示端口號(hào)，可以指定一個(gè)或多個(gè)

-i 選項(xiàng)默認(rèn)會(huì)同時(shí)輸出 IPv4 和 IPv6 打開(kāi)的文件：

$ sudo lsof -i

只列出 IPv4 或 IPv6 打開(kāi)的文件

$ sudo lsof -i 4
$ sudo lsof -i 6

列出與 22 號(hào)端口相關(guān)的文件

$ sudo lsof -i:22

列出指定范圍內(nèi)被打開(kāi)的 TCP 端口

$ sudo -i TCP:1-1024

查看被打開(kāi)的 UNIX domain socket 文件

-U 選項(xiàng)輸出打開(kāi)的 UNIX domain socket 文件，這里我們結(jié)合 -c 選項(xiàng)來(lái)查看 ssh 服務(wù)打開(kāi)的 UNIX domain socket 文件：

$ sudo lsof -a -c sshd -U

查看某個(gè)用戶打開(kāi)的所有文件

-u 選項(xiàng)可以指定用戶名或 user ID，并且和 -c 選項(xiàng)一樣，可以通過(guò)逗號(hào)分隔多個(gè)用戶名稱或 user ID，也可以通過(guò)符號(hào) ^ 對(duì)條件取反。
查看某個(gè)用戶打開(kāi)的所有文件

$ sudo lsof -u syslog

查看用戶 nick 打開(kāi)的網(wǎng)絡(luò)相關(guān)的文件

$ sudo lsof -a -i -u nick

排除某個(gè)用戶

$ sudo lsof -i -u ^nick

注意：在有排除條件時(shí)，不需要指定 -a 選項(xiàng)。

殺掉某個(gè)用戶打開(kāi)了文件的所有進(jìn)程

$ kill -9 $(lsof -t -u nick)

該命令中的 -t 選項(xiàng)讓 lsof 命令只輸出進(jìn)程的 PID：

統(tǒng)計(jì)系統(tǒng)打開(kāi)的文件總數(shù)

$ sudo lsof -P -n | wc -l

命令中的 -P 選項(xiàng)表示不解析端口號(hào)，-n 選項(xiàng)表示不解析主機(jī)名，這兩個(gè)選項(xiàng)主要的目的是為了提升 lsof 命令的執(zhí)行速度。wc -l 命令則用來(lái)統(tǒng)計(jì) lsof 命令輸出的行數(shù)。

恢復(fù)刪除的文件

如果我們一不小心刪除了文件，而又知道這個(gè)文本被某個(gè)進(jìn)程打開(kāi)著，就可以通過(guò) lsof 命令來(lái)恢復(fù)該文件。具體的原理為：
當(dāng)進(jìn)程打開(kāi)了某個(gè)文件時(shí)，只要該進(jìn)程保持打開(kāi)該文件，即使將文件刪除，它依然存在于磁盤(pán)中。進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以通過(guò)打開(kāi)該文件時(shí)提供給它的文件描述符進(jìn)行讀取和寫(xiě)入。除了該進(jìn)程之外，這個(gè)文件是不可見(jiàn)的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn)。
進(jìn)程打開(kāi)的文件描述符就存放在 /proc/PID/fd 目錄下。/proc 目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤(pán)中，因此當(dāng)我們對(duì)這些文件進(jìn)行讀取和寫(xiě)入時(shí)，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息。lsof 程序就是使用這些信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來(lái)產(chǎn)生其輸出。所以 lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息。也就是說(shuō)我們通過(guò)訪問(wèn)進(jìn)程的文件描述符可以找到該文件的相關(guān)信息。
下面的 demo 演示如何通過(guò) lsof 命令恢復(fù)被誤刪的 /var/log/syslog 文件。
先刪除日志文件 /var/log/syslog，記著要提前備份一下這個(gè)文件，以防萬(wàn)一：

$ sudo rm /var/log/syslog

從上面的信息可以看到 PID 為 1141 的進(jìn)程打開(kāi)著該文件，文件描述符為 7，并且顯示該文件已經(jīng)被刪除了。接下來(lái)我們通過(guò) 1141 號(hào)進(jìn)程的文件文件描述符來(lái)查看該文件的內(nèi)容：

$ sudo tail -n 5 /proc/1141/fd/7

上圖說(shuō)明文件 /var/log/syslog 文件的內(nèi)容還在，并且可以通過(guò)文件描述符訪問(wèn)，接下來(lái)通過(guò) IO 重定向的方式重新創(chuàng)建 /var/log/syslog 文件就可以了：

$ sudo sh -c 'cat /proc/1141/fd/7 > /var/log/syslog' 

然后修復(fù)文件的權(quán)限屬性并重啟 rsyslog 服務(wù)：

$ sudo chown syslog:adm /var/log/syslog
$ sudo systemctl restart rsyslog.service

這樣就完成了 /var/log/syslog 文件的恢復(fù)工作。對(duì)于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫(kù)文件，都可以通過(guò)這種方式來(lái)恢復(fù)。

幫助

-h 選項(xiàng)會(huì)輸出 lsof 命令的幫助信息：

估計(jì)這樣的幫助信息也只能逼著你去讀 man page 了！

總結(jié)

lsof 并不是一個(gè)簡(jiǎn)單的命令，從其 man page 的長(zhǎng)度就可以體會(huì)到這一點(diǎn)。從本文介紹的小 demo 入手或許可以讓你忘記冗長(zhǎng)的文檔說(shuō)明，一步步的開(kāi)始使用并最終掌握這個(gè)命令。

鏈接：https://www.cnblogs.com/sparkdev/p/10271351.html