linux下lsof使用

欢迎访问我的个人博客网站：http://www.yanmin99.com/

一、lsof介绍

• lsof（list open files）是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等，系统在后台都为该应用程序分配了一个文件描述符，无论这个文件的本质如何，该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口。因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息，因此通过lsof工具能够查看这个列表对系统监测以及排错将是很有帮助的。

二、lsof使用

• 在终端下输入lsof即可显示系统打开的文件，因为 lsof 需要访问核心内存和各种文件，所以必须以 root 用户的身份运行它才能够充分地发挥其功能

  COMMAND   PID        USER    FD     TYPE               DEVICE SIZE/OFF    NODE   NAME
  console-k  1272      root    5w     FIFO                0,8       0t0      10290 pipe
  console-k  1272      root    6r     FIFO                0,8      0t0      10291 pipe
  console-k  1272      root    7w     FIFO                0,8      0t0      10291 pipe
  console-k  1272      root    8u     unix 0xffff880424050e00      0t0      10292 socket
  console-k  1272      root    9w      REG                8,1       61        647 /var/log/ConsoleKit/history
  console-k  1272      root   10u     unix 0xffff880424050ac0      0t0      10317 socket
  console-k  1272      root   11r      CHR                4,0      0t0       5357 /dev/tty0
  console-k  1272      root   13r     FIFO                0,8      0t0      10316 pipe
  console-k  1272      root   14w     FIFO                0,8      0t0      10316 pipe
  jbd2/sdb1  1406      root  cwd       DIR                8,1     4096          2 /
  jbd2/sdb1  1406      root  rtd       DIR                8,1     4096          2 /
  jbd2/sdb1  1406      root  txt   unknown                                        /proc/1406/exe
  ext4-dio-  1407      root  cwd       DIR                8,1     4096          2 /
  ext4-dio-  1407      root  rtd       DIR                8,1     4096          2 /
  ext4-dio-  1407      root  txt   unknown                                        /proc/1407/exe
  sshd       1435      root  cwd       DIR                8,1     4096          2 /
  sshd       1435      root  rtd       DIR                8,1     4096          2 /
  sshd       1435      root  txt       REG                8,1   567128      34021 /usr/sbin/sshd

• lsof输出信息介绍
  “`
  COMMAND：进程的名称
  PID：进程标识符
  USER：进程所有者
  FD：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等
  TYPE：文件类型，如DIR、REG等
  DEVICE：指定磁盘的名称
  SIZE：文件的大小
  NODE：索引节点（文件在磁盘上的标识）
  NAME：打开文件的确切名称

  其中FD 列中的文件描述符cwd 值表示应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改。
  txt 类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序。其次数值表示应用
  程序的文件描述符，这是打开该文件时返回的一个整数。如上的最后一行文件/dev/initctl，其文件描述符为 10。u 表示该
  文件被打开并处于读取/写入模式，而不是只读 ® 或只写 (w) 模式。同时还有大写 的W 表示该应用程序具有对整个文件的写
  锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时，都具有三个文件描述符，从 0 到 2，
  分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的 FD 都是从 3 开始。
  与 FD 列相比，Type 列则比较直观。文件和目录分别称为 REG 和 DIR。而CHR 和 BLK，分别表示字符和块设备；
  或者 UNIX、FIFO 和 IPv4，分别表示 UNIX 域套接字、先进先出 (FIFO) 队列和网际协议 (IP) 套接字

• lsof语法

  • lsof语法格式

    lsof ［options］ filename

  • 常用参数列表

    lsof  filename 显示打开指定文件的所有进程
    lsof -a 表示两个参数都必须满足时才显示结果
    lsof -c string   显示COMMAND列中包含指定字符的进程所有打开的文件
    lsof -u username  显示所属user进程打开的文件
    lsof -g gid 显示归属gid的进程情况
    lsof +d /DIR/ 显示目录下被进程打开的文件
    lsof +D /DIR/ 同上，但是会搜索目录下的所有目录，时间相对较长
    lsof -d FD 显示指定文件描述符的进程
    lsof -n 不将IP转换为hostname，缺省是不加上-n参数
    lsof -i 用以显示符合条件的进程情况
    lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
               46 --> IPv4 or IPv6
               protocol --> TCP or UDP
               hostname --> Internet host name
               hostaddr --> IPv4地址
               service --> /etc/service中的 service name (可以不只一个)
            port --> 端口号 (可以不只一个)

三、lsof实例

• 查看22端口现在运行的情况

  [root@k4484v /home/j-yanmin]# lsof -i:22
  COMMAND   PID     USER   FD   TYPE    DEVICE SIZE/OFF NODE NAME
  sshd     1435     root    3u  IPv4     10655      0t0  TCP *:ssh (LISTEN)
  sshd    21726     root    3r  IPv4 105167852      0t0  TCP 10.209.4.161:ssh->10.203.4.147:53766 (ESTABLISHED)
  sshd    21731 j-yanmin    3u  IPv4 105167852      0t0  TCP 10.209.4.161:ssh->10.203.4.147:53766 (ESTABLISHED)

• 查看所属root用户进程所打开的文件类型为txt的文件

  [root@k4484v /home/j-yanmin]# lsof -a -u root -d txt
  COMMAND     PID USER  FD      TYPE DEVICE SIZE/OFF   NODE NAME
  init          1 root txt       REG    8,1   150352  11418 /sbin/init
  kthreadd      2 root txt   unknown                        /proc/2/exe
  migration     3 root txt   unknown                        /proc/3/exe
  ksoftirqd     4 root txt   unknown                        /proc/4/exe
  stopper/0     5 root txt   unknown                        /proc/5/exe
  watchdog/     6 root txt   unknown                        /proc/6/exe
  migration     7 root txt   unknown                        /proc/7/exe
  stopper/1     8 root txt   unknown                        /proc/8/exe
  ksoftirqd     9 root txt   unknown                        /proc/9/exe
  watchdog/    10 root txt   unknown                        /proc/10/exe
  migration    11 root txt   unknown                        /proc/11/exe