Linux学习-49-列出进程调用或打开的文件信息(lsof命令)

最新推荐文章于 2024-03-26 17:40:02 发布

褚师子书

最新推荐文章于 2024-03-26 17:40:02 发布

阅读量1.8k

点赞数

分类专栏：云 linux 文章标签： linux 学习网络

本文链接：https://blog.csdn.net/weixin_42045639/article/details/127999305

版权

云同时被 2 个专栏收录

115 篇文章 4 订阅

订阅专栏

linux

114 篇文章 8 订阅

订阅专栏

12.6 lsof命令：列出进程调用或打开的文件信息

通过 ps 命令可以查询到系统中所有的进程，而lsof 命令（list opened files）可以进一步知道这个进程到底在调用哪些文件，列举系统中已经被打开的文件。通过 lsof 命令，我们就可以根据文件找到对应的进程信息，也可以根据进程信息找到进程打开的文件。进程打开的端口(TCP、UDP)。找回/恢复删除的文件。是十分方便的系统监视工具，因为lsof命令需要访问核心内存和各种文件，所以需要root用户执行。lsof 命令的基本格式如下：

[root@localhost ~]# lsof [选项]

此命令常用的选项及功能：

-a：列出打开文件存在的进程；
-c<进程名>：列出指定进程所打开的文件；
-g：列出GID号进程详情；
-d<文件号>：列出占用该文件号的进程；
+d<目录>：列出目录下被打开的文件；
+D<目录>：递归列出目录下被打开的文件；
-n<目录>：列出使用NFS的文件；
-i<条件>：列出符合条件的进程。（4、6、协议、:端口、 @ip ）
-p<进程号>：列出指定进程号所打开的文件；
-u：列出UID号进程详情；
-h：显示帮助信息；
-u 用户名	只列出某个用户的进程打开的文件。
-v：显示版本信息。

查询系统中所有进程调用的文件,用more命令打印一页

[root@CncLucZK ~]# lsof | more
COMMAND       PID     TID TASKCMD             USER   FD      TYPE             DEVICE  SIZE/
OFF       NODE NAME
systemd         1                             root  cwd       DIR              253,1      4
096          2 /
systemd         1                             root  rtd       DIR              253,1      4
096          2 /
systemd         1                             root  txt       REG              253,1   1559
....
656     275027 /usr/lib64/libdevmapper.so.1.02
systemd         1                             root  mem       REG              253,1     26
704     269858 /usr/lib64/libattr.so.1.1.2448
systemd         1                             root  mem       REG              253,1   3079
664     276048 /usr/lib64/libcrypto.so.1.1.1k
systemd         1                             root  mem       REG              253,1    615
704     289949 /usr/lib64/libssl.so.1.1.1k
systemd         1                             root  mem       REG              253,1    101
032     268928 /usr/lib64/libz.so.1.2.11
systemd         1                             root  mem       REG              253,1     25
192     269898 /usr/lib64/libcap-ng.so.0.0.0
systemd         1                             root  mem       REG              253,1     33
480     269006 /usr/lib64/libuuid.so.1.3.0
...
...more...

这个命令的输出非常多。它会按照 PID，从 1 号进程开始列出系统中所有的进程正在调用的文件名。

lsof输出各列信息的意义如下：
- COMMAND：进程的名称
- PID：进程标识符
- PPID：父进程标识符（需要指定-R参数）
- USER：进程所有者
- PGID：进程所属组
- FD：文件描述符，应用程序通过文件描述符识别该文件。
文件描述符列表：
1. cwd：表示current work dirctory，即：应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改
2. txt：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序
3. lnn：library references (AIX);
4. er：FD information error (see NAME column);
5. jld：jail directory (FreeBSD);
6. ltx：shared library text (code and data);
7. mxx ：hex memory-mapped type number xx.
8. m86：DOS Merge mapped file;
9. mem：memory-mapped file;
10. mmap：memory-mapped device;
11. pd：parent directory;
12. rtd：root directory;
13. tr：kernel trace file (OpenBSD);
14. v86 VP/ix mapped file;
15. 0：表示标准输出
16. 1：表示标准输入
17. 2：表示标准错误
一般在标准输出、标准错误、标准输入后还跟着文件状态模式：
1. u：表示该文件被打开并处于读取/写入模式。
2. r：表示该文件被打开并处于只读模式。
3. w：表示该文件被打开并处于。
4. 空格：表示该文件的状态模式为unknow，且没有锁定。
5. -：表示该文件的状态模式为unknow，且被锁定。
同时在文件状态模式后面，还跟着相关的锁：
1. N：for a Solaris NFS lock of unknown type;
2. r：for read lock on part of the file;
3. R：for a read lock on the entire file;
4. w：for a write lock on part of the file;（文件的部分写锁）
5. W：for a write lock on the entire file;（整个文件的写锁）
6. u：for a read and write lock of any length;
7. U：for a lock of unknown type;
8. x：for an SCO OpenServer Xenix lock on part of the file;
9. X：for an SCO OpenServer Xenix lock on the entire file;
10. space：if there is no lock.
文件类型：
1. DIR：表示目录。
2. CHR：表示字符类型。
3. BLK：块设备类型。
4. UNIX： UNIX 域套接字。
5. FIFO：先进先出 (FIFO) 队列。
6. IPv4：网际协议 (IP) 套接字。
7. DEVICE：指定磁盘的名称
8. SIZE：文件的大小
9. NODE：索引节点（文件在磁盘上的标识）
10. NAME：打开文件的确切名称
lsof查询某个文件被哪个进程调用,这个例子就查询到 /sbin/sshd文件是被 sshd 进程调用的。

[root@CncLucZK ~]# lsof  /sbin/sshd
COMMAND     PID USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
sshd       1337 root txt    REG  253,1  1228192 282047 /usr/sbin/sshd
sshd    1193020 root txt    REG  253,1  1228192 282047 /usr/sbin/sshd
sshd    1193033 root txt    REG  253,1  1228192 282047 /usr/sbin/sshd

查询某个目录下所有的文件是被哪些进程调用的,使用“+d”选项可以搜索某个目录下所有的文件，查看到底哪个文件被哪个进程调用了,+D<目录>：递归列出目录下被打开的文件；

[root@CncLucZK ~]# lsof +D /usr/lib |more
COMMAND       PID    USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
systemd         1    root txt    REG  253,1  1559656 276493 /usr/lib/systemd/systemd
systemd         1    root mem    REG  253,1  2707648 276331 /usr/lib/systemd/libsystemd-sha
red-239.so
systemd-j     531    root txt    REG  253,1   153896 276503 /usr/lib/systemd/systemd-journa
ld
systemd-j     531    root mem    REG  253,1  2707648 276331 /usr/lib/systemd/libsystemd-sha
...more...

#查看mysqld进程调用了哪些文件,使用-c<进程名>：列出指定进程所打开的文件；

[root@CncLucZK ~]# lsof -c mysqld
COMMAND  PID  USER   FD      TYPE             DEVICE SIZE/OFF   NODE NAME
mysqld  1364 mysql  cwd       DIR              253,1     4096 656615 /var/lib/mysql
mysqld  1364 mysql  rtd       DIR              253,1     4096      2 /
mysqld  1364 mysql  txt       REG              253,1 64293072 294492 /usr/libexec/mysqld
mysqld  1364 mysql  mem       REG              253,1   543160 267511 /usr/lib64/libpcre2-8.so.0.7.1
mysqld  1364 mysql  mem       REG              253,1   168568 267526 /usr/lib64/libselinux.so.1
mysqld  1364 mysql  mem       REG              253,1    33480 269006 /usr/lib64/libuuid.so.1.3.0
mysqld  1364 mysql  mem       REG              253,1   343552 275024 /usr/lib64/libblkid.so.1.1.0

可以按照 PID 查询进程调用的文件，比如执行“lsof -p 1364”命令就可以查看 PID 为 1364 的进程调用的所有文件。

[root@CncLucZK ~]# lsof -p 1364|more
COMMAND  PID  USER   FD      TYPE             DEVICE SIZE/OFF   NODE NAME
mysqld  1364 mysql  cwd       DIR              253,1     4096 656615 /var/lib/mysql
mysqld  1364 mysql  rtd       DIR              253,1     4096      2 /
mysqld  1364 mysql  txt       REG              253,1 64293072 294492 /usr/libexec/mysqld
mysqld  1364 mysql  mem       REG              253,1   543160 267511 /usr/lib64/libpcre2-8.
so.0.7.1
mysqld  1364 mysql  mem       REG              253,1   168568 267526 /usr/lib64/libselinux.
so.1
...more...

按照用户名查询某个用户的进程调用的文件

[root@CncLucZK ~]# lsof -p mysql |more
COMMAND  PID  USER   FD      TYPE             DEVICE SIZE/OFF   NODE NAME
mysqld  1364 mysql  cwd       DIR              253,1     4096 656615 /var/lib/mysql
mysqld  1364 mysql  rtd       DIR              253,1     4096      2 /
mysqld  1364 mysql  txt       REG              253,1 64293072 294492 /usr/libexec/mysqld
mysqld  1364 mysql  mem       REG              253,1   543160 267511 /usr/lib64/libpcre2-8.
so.0.7.1
mysqld  1364 mysql  mem       REG              253,1   168568 267526 /usr/lib64/libselinux.
so.1

参考文献:
Linux lsof命令：列出进程调用或打开的文件信息