如何在Linux系統(tǒng)中使用lsof命令-創(chuàng)新互聯(lián)

本篇文章為大家展示了如何在Linux系統(tǒng)中使用lsof命令，內容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。

成都創(chuàng)新互聯(lián)主要從事網站制作、做網站、網頁設計、企業(yè)做網站、公司建網站等業(yè)務。立足成都服務榮昌,十多年網站建設經驗,價格優(yōu)惠、服務專業(yè),歡迎來電咨詢建站服務:13518219792

lsof(list open files)是一個查看進程打開的文件的工具。

在 linux 系統(tǒng)中，一切皆文件。通過文件不僅僅可以訪問常規(guī)數(shù)據，還可以訪問網絡連接和硬件。所以 lsof 命令不僅可以查看進程打開的文件、目錄，還可以查看進程監(jiān)聽的端口等 socket 相關的信息。本文將介紹 lsof 命令的基本用法，本文中 demo 的演示環(huán)境為 ubuntu 18.04。

常用選項

-a 指示其它選項之間為與的關系
-c <進程名> 輸出指定進程所打開的文件
-d <文件描述符> 列出占用該文件號的進程
+d <目錄> 輸出目錄及目錄下被打開的文件和目錄(不遞歸)
+D <目錄> 遞歸輸出及目錄下被打開的文件和目錄
-i <條件> 輸出符合條件與網絡相關的文件
-n 不解析主機名
-p <進程號> 輸出指定 PID 的進程所打開的文件
-P 不解析端口號
-t 只輸出 PID
-u 輸出指定用戶打開的文件
-U 輸出打開的 UNIX domain socket 文件
-h 顯示幫助信息
-v 顯示版本信息

基本輸出

如果不帶任何選項執(zhí)行 lsof 命令，會輸出系統(tǒng)中所有 active 進程打開的所有文件，結果就是我們被輸出的信息所淹沒，這沒有任何的意義。我們先讓 lsof 命令輸出當前 Bash 進程打開的文件，并截取其中的一部分結果來介紹輸出內容中都包含哪些信息：

COMMAND：程序的名稱
PID：進程標識符
USER：進程所有者
FD：文件描述符，應用程序通過文件描述符識別該文件
TYPE：文件類型，如 DIR、REG 等
DEVICE：以逗號分隔設備編號
SIZE：文件的大小(bytes)
NODE：索引節(jié)點(文件在磁盤上的標識)
NAME：打開文件的確切名稱

下面簡單介紹一下 FD 列和 TYPE 列中的常見內容。
FD 列中的常見內容有 cwd、rtd、txt、mem 和一些數(shù)字等等。其中 cwd 表示當前的工作目錄；rtd 表示根目錄；txt 表示程序的可執(zhí)行文件；mem 表示內存映射文件：

還有一部分 FD 是以數(shù)字表示的，比如標準輸入輸出文件：

數(shù)字后面的字母表示進程對該文件的讀寫模式，比如上圖中的 u 表示該文件被打開并處于讀取/寫入模式。除了 u，還有 r 表示只讀模式，w 表示只寫模式，還可以同時應用 W 表示該進程擁有對文件寫操作的鎖。下圖是截取的 docker daemon 進程打開的文件列表，其中顯示了 FD 的不同模式：

TYPE 列中常見的 REG 和 DIR 分別表示普通文件和目錄。而 CHR 和 BLK 則分別表示字符和塊設備，unix、fifo 和 IPv4/IPv6 分別表示 UNIX domain 套接字、先進先出(FIFO)隊列和 IPv4/IPv6 套接字。

下面我們來介紹一些 lsof 命令的常見用法。

查看哪些進程打開了某個文件

直接指定文件的名稱作為 lsof 的參加就可以查看哪些進程打開了這個文件，下面的命令查詢打開了 /bin/bash 文件的進程：

$ sudo lsof /bin/bash

除了普通文件，也可以是設備等文件(下面命令的輸出很長，圖示只是截取的一小部分)：

$ sudo lsof /dev/sda1

查看哪些進程打開了某個目錄及目錄下的文件

這里分兩種情況，+d 選項不執(zhí)行遞歸查詢，只查找那些打開了指定目錄以及指定目錄下文件和目錄的進程，比如：

$ sudo lsof +d /var/log

而 +D 選項則會對指定的目錄進行遞歸：

$ sudo lsof +D /var/log

在卸載文件系統(tǒng)時，如果有進程打開了該文件系統(tǒng)中的文件或目錄，卸載操作就會失敗。因此最好在卸載文件系統(tǒng)前通過 lsof +D 檢查文件系統(tǒng)的掛載點，殺掉相關的進程然后再執(zhí)行卸載操作。

查看某個進程打開的所有文件

通過 -p 選項并指定進程的 PID 可以輸出該進程打開的所有文件。比如我們想要查看 cron 程序打開的文件，可以先用 ps -C cron 命令查出進程的 PID：

然后把該 PID 傳遞給 lsof 命令的 -p 選項：

$ sudo lsof -p 1152

組合多個選項

如果為 lsof 命令指定多個選項，這些選項間默認是或的關系。也就是說滿足任何一個選項的結果都會被輸出?？梢蕴砑宇~外的 -a 選項，它的作用就是讓其它選項之間的關系變?yōu)榕c，比如下面的命令：

$ sudo lsof -a -p $$ -d0,1,2

其中的 -p 選項指定了當前進程的 PID，而 -d 選項則用來指定進程打開的文件描述符(可以通過逗號分隔多個文件描述符)。添加 -a 選項后，結果輸出為當前進程打開的文件描述符為 0、1、2 的文件。
說明，-a 選項的使用有很多條件，具體請參考 lsof man page。

查看指定名稱的程序打開的文件

通過 -c 選項可以匹配進程運行的程序(可執(zhí)行文件)名稱。比如我們要查找以字母 cr 開頭的程序打開的文件列表：

$ sudo lsof -c cr

還可以同時指定多個 -c 選項，它們之間是或的關系。
如果想對 -c 選項的條件取反，只要在字符串前添加符號 ^ 就可以了，比如：

$ sudo lsof -c ^cr

-c 選項也支持正則表達式，比如下面的命令可以過濾出以 cra 和 cro 開頭的程序打開的文件：

$ sudo lsof -c /cr[ao]/

查看被打開的與網絡相關的文件

-i 選項用來查看被打開的和網絡相關的文件，其參數(shù)的格式如下：
[46][protocol][@hostname|hostaddr][:service|port]
46 表示 IP 協(xié)議的版本
protocol 表示網絡協(xié)議的名稱，比如 TCP 或 UDP
hostname 或 hostaddr 表示主機地址
service 指 /etc/services 中的名稱，比如 smtp 或多個服務的列表
port 表示端口號，可以指定一個或多個

-i 選項默認會同時輸出 IPv4 和 IPv6 打開的文件：

$ sudo lsof -i

只列出 IPv4 或 IPv6 打開的文件

$ sudo lsof -i 4
$ sudo lsof -i 6

列出與 22 號端口相關的文件

$ sudo lsof -i:22

列出指定范圍內被打開的 TCP 端口

$ sudo -i TCP:1-1024

查看被打開的 UNIX domain socket 文件

-U 選項輸出打開的 UNIX domain socket 文件，這里我們結合 -c 選項來查看 ssh 服務打開的 UNIX domain socket 文件：

$ sudo lsof -a -c sshd -U

查看某個用戶打開的所有文件

-u 選項可以指定用戶名或 user ID，并且和 -c 選項一樣，可以通過逗號分隔多個用戶名稱或 user ID，也可以通過符號 ^ 對條件取反。
查看某個用戶打開的所有文件

$ sudo lsof -u syslog

查看用戶 nick 打開的網絡相關的文件

$ sudo lsof -a -i -u nick

排除某個用戶

$ sudo lsof -i -u ^nick

注意：在有排除條件時，不需要指定 -a 選項。

殺掉某個用戶打開了文件的所有進程

$ kill -9 $(lsof -t -u nick)

該命令中的 -t 選項讓 lsof 命令只輸出進程的 PID：

統(tǒng)計系統(tǒng)打開的文件總數(shù)

$ sudo lsof -P -n | wc -l

命令中的 -P 選項表示不解析端口號，-n 選項表示不解析主機名，這兩個選項主要的目的是為了提升 lsof 命令的執(zhí)行速度。wc -l 命令則用來統(tǒng)計 lsof 命令輸出的行數(shù)。

恢復刪除的文件

如果我們一不小心刪除了文件，而又知道這個文本被某個進程打開著，就可以通過 lsof 命令來恢復該文件。具體的原理為：
當進程打開了某個文件時，只要該進程保持打開該文件，即使將文件刪除，它依然存在于磁盤中。進程并不知道文件已經被刪除，它仍然可以通過打開該文件時提供給它的文件描述符進行讀取和寫入。除了該進程之外，這個文件是不可見的，因為已經刪除了其相應的目錄索引節(jié)點。

進程打開的文件描述符就存放在 /proc/PID/fd 目錄下。/proc 目錄掛載的是在內存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當我們對這些文件進行讀取和寫入時，實際上是在從內存中獲取相關信息。lsof 程序就是使用這些信息和其他關于內核內部狀態(tài)的信息來產生其輸出。所以 lsof 可以顯示進程的文件描述符和相關的文件名等信息。也就是說我們通過訪問進程的文件描述符可以找到該文件的相關信息。

下面的 demo 演示如何通過 lsof 命令恢復被誤刪的 /var/log/syslog 文件。

先刪除日志文件 /var/log/syslog，記著要提前備份一下這個文件，以防萬一：

$ sudo rm /var/log/syslog

從上面的信息可以看到 PID 為 1141 的進程打開著該文件，文件描述符為 7，并且顯示該文件已經被刪除了。接下來我們通過 1141 號進程的文件文件描述符來查看該文件的內容：

$ sudo tail -n 5 /proc/1141/fd/7

上圖說明文件 /var/log/syslog 文件的內容還在，并且可以通過文件描述符訪問，接下來通過 IO 重定向的方式重新創(chuàng)建 /var/log/syslog 文件就可以了：

$ sudo sh -c 'cat /proc/1141/fd/7 > /var/log/syslog'

然后修復文件的權限屬性并重啟 rsyslog 服務：

$ sudo chown syslog:adm /var/log/syslog
$ sudo systemctl restart rsyslog.service

這樣就完成了 /var/log/syslog 文件的恢復工作。對于許多應用程序，尤其是日志文件和數(shù)據庫文件，都可以通過這種方式來恢復。

幫助

-h 選項會輸出 lsof 命令的幫助信息：

上述內容就是如何在Linux系統(tǒng)中使用lsof命令，你們學到知識或技能了嗎？如果還想學到更多技能或者豐富自己的知識儲備，歡迎關注創(chuàng)新互聯(lián)行業(yè)資訊頻道。

本文題目：如何在Linux系統(tǒng)中使用lsof命令-創(chuàng)新互聯(lián)
文章出自：http://muchs.cn/article42/pdhec.html

成都網站建設公司_創(chuàng)新互聯(lián)，為您提供網站建設、品牌網站制作、域名注冊、虛擬主機、小程序開發(fā)、網站維護

廣告

聲明：本網站發(fā)布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創(chuàng)新互聯(lián)