Linux lsof 和 strace

跟踪程序的执行 和 系统调用

我们如何判断一个 程序 为何失败。

strace(system call trace) 和 ltrace(libirary trace) 可以查看一个程序要做什么。

strace

system call 是一个 被授权的 操作，由 用户空间进程 要求 内核 执行，如 从一个文件读数据。strace 会打印 一个进程的 所有系统调用。

默认的话，strace 的输出 是给到 standard error。我们可以使用 -o save_file 放到文件里。或者使用 2> save_file。

如果一个进程要启动另一个进程，它会先调用fork 复制一个当前 进程。然后 在调用某一个 exec 执行 特定的 程序。strace 在 fork被调用后，开始工作。所以，一开始是execve()，然后是brk()初始化内存。接下来是加载 共享库。

openat() ：打开一个文件。3 意思成功。然后是 read()，任然返回的3. 最后 exit_group(0)退出。

丢失文件 在 Unix 程序中 很常见，所以 诊断文件丢失的售后，可以尝试 strace. 你可以strace 守护进程， 这些守护进程会产生更多的进程。例如：

strace -o crummyd_stance   -ff crummyd 

crummyd 的子进程 的 日志 会打在 crummyd_stance.pid 里

使用 lsof

两种lsof的使用方式：
1. lsof | less
2. 用参数 减少 lsof 的输出

lsof +D /usr   这个目录下的文件
lsof -p 123    进程id 为 123的
lsof -h        帮助

如果你更新了内核，你可能要重启内核，lsof 才会生效。

用 lsof 找到打开的文件

lsof 列出了被打开的 文件，和使用他们的进程。因为 Linux 重视文件 所以lsof 非常有用。lsof 可以显示 文件， 网络资源， 动态库， 管道 还有其他。

lsof 的输出

lsof 的输出很多。

字段名：
COMMAND
PID
USER
FD：显示文件的意图。文件描述符（一个数字 -- 进程，系统库和内核使用) 
TYPE: regular，socket，dir等
DEVICE：设备的 major 和 minor number，这个设备拥有这个文件。
SIZE/OF：文件的大小
NODE：文件的INODE号
NAME：

lsof(1) 用户手册包含了 所有的枚举。cwd表示 进程的工作目录。

用 root 运行 lsof 能获取更多信息。