共計 6051 個字符，預計需要花費 16 分鐘才能閱讀完成。
這篇文章將為大家詳細講解有關 lsof 命令怎么用，丸趣 TV 小編覺得挺實用的，因此分享給大家做個參考，希望大家閱讀完這篇文章后可以有所收獲。
一：lsof 介紹
lsof 是 linux 下的一個非常實用的系統級的監控、診斷工具。
它的意思是 List Open Files，很容易你就記住了它是“ls + of”的組合，它可以用來列出被各種進程打開的文件信息，記住：linux 下“一切皆文件”，包括但不限于 pipes, sockets, directories, devices, 等等。
因此，使用 lsof，你可以獲取任何被打開文件的各種信息，只需輸入 lsof 就可以生成大量的信息，因為 lsof 需要訪問核心內存和各種文件，所以必須以 root 用戶的身份運行它才能夠充分地發揮其功能。
適應條件：lsof 訪問的是核心文件和各種文件，所以必須以 root 用戶的身份運行才能充分發揮其功能。
lsof [選項] [絕對路徑的文件名]
示例：
[root@localhost ~]# lsof /usr/sbin/httpd
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
httpd 6279 root txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6281 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6282 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6283 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6284 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6285 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6286 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6287 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6288 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
httpd 6546 apache txt REG 8,2 344112 415135 /usr/sbin/httpd
每行顯示一個打開的文件，默認如果后面不跟任何東西，將打開系統打開的所有文件
COMMAND：進程名稱
PID：進程標識符
USER: 進程所有者
FD: 文件描述符，應用程序通過文件描述符識別到該文件。如 cwd、txt 等
TYPE：文件類型，如 DIR,REG
DEVICE: 指定磁盤名稱
SIZE: 文件大小
NODE: 索引節點（文件在磁盤上的標識）
NAME: 打開文件的確切名稱
補充：FD 列中的文件描述 cwd 值表示應用程序的當前工作目錄，這是該程序啟動的目錄，除非它本身對這個目錄進行更改。txt 類型的是程序代碼，如應用程序二進制文件本身或者共享庫。其次數值表示應用程序的文件描述符，這是打開文件時一個返回的一個整數。
如下示例：
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
lsof 6660 root 0u CHR 136,0 0t0 3 /dev/pts/0
lsof 6660 root 1u CHR 136,0 0t0 3 /dev/pts/0
lsof 6660 root 2u CHR 136,0 0t0 3 /dev/pts/0
lsof 6660 root 3r DIR 0,3 0 1 /proc
lsof 6660 root 4r DIR 0,3 0 36358 /proc/6660/fd
lsof 6660 root 5w FIFO 0,8 0t0 36363 pipe
lsof 6660 root 6r FIFO 0,8 0t0 36364 pipe
lsof 6661 root cwd DIR 8,2 4096 130562 /root
lsof 6661 root rtd DIR 8,2 4096 2 /
lsof 6661 root txt REG 8,2 154356 415242 /usr/sbin/lsof
lsof 6661 root mem REG 8,2 1907156 914957 /lib/libc-2.12.so
lsof 6661 root mem REG 8,2 17892 914963 /lib/libdl-2.12.so
lsof 6661 root mem REG 8,2 141080 914950 /lib/ld-2.12.so
lsof 6661 root mem REG 8,2 120780 915040 /lib/libselinux.so.1
lsof 6661 root mem REG 8,2 99154448 395123 /usr/lib/locale/locale-archive
lsof 6661 root 4r FIFO 0,8 0t0 36363 pipe
lsof 6661 root 7w FIFO 0,8 0t0 36364 pipe
其中 u 表示該文件被打開處于讀取 \ 寫入模式，而不是只讀或只寫模式；r 只讀；w 只寫；W 表示該應用程序具有對整個文件的寫鎖（確保每次只能打開一次應用程序實例）
初始打開每個應用程序時，都具有三個文件描述符，從 0 到 2，分別表示標準輸入、輸出和錯誤流。因此，大多數應用程序所打開的 FD 都是從 3 開始！
TYPE：REG、DIR、CHR、BLK、UNIX、FIFO、IPV
二、應用 lsof 之恢復刪除文件
當系統中的某個文件被意外刪除了，只要這個時候系統中有進程正在訪問這個文件，那么可以通過 lsof 從 /proc 目錄下恢復文件的內容
假如 /var/log/messages 文件被刪了，恢復這個文件的方法：
首先使用 lsof 查看當前是否有進程打開 /var/log/messages 文件，
#lsof |grep /var/log/messages
[root@localhost ~]# rm /var/log/messages
rm：是否刪除普通文件 /var/log/messages？y
[root@localhost ~]# lsof |grep /var/log/messages
rsyslogd 5925 root 1w REG 8,2 4369 266184 /var/log/messages (deleted)
從上面的信息可以看到 PID 5925（syslogd)打開文件的文件描述符為 1，同時發現 /var/log/messages 已經被刪除了。
因此可以通過 /var/log/messages 文件描述符來查看文件信息
cat /pro/5925/fd/1
[root@localhost ~]# cat /proc/5925/fd/1
May 12 08:04:11 localhost kernel: hpet1: lost 3 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 6 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 1 rtc interrupts
May 12 09:25:33 localhost kernel: usb 2-2.1: USB disconnect, device number 10
May 12 09:25:33 localhost kernel: eth0: link down
May 12 09:25:33 localhost kernel: usb 2-2.1: new full speed USB device number 11 using uhci_hcd
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device found, idVendor=0e0f, idProduct=0008
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
May 12 09:25:33 localhost kernel: usb 2-2.1: Product: Virtual Bluetooth Adapter
May 12 09:25:33 localhost kernel: usb 2-2.1: Manufacturer: VMware
May 12 09:25:33 localhost kernel: usb 2-2.1: SerialNumber: 000650268328
May 12 09:25:33 localhost kernel: usb 2-2.1: configuration #1 chosen from 1 choice
最后通過重定向的方法恢復被刪除的 /var/log/messages
cat /pro/5925/fd/1 /var/log/messages
三、lsof 命令詳解：
3.1 查看命令詳解
lsof -h
3.2 列出所有打開的文件
# lsof
不帶任何參數運行 lsof 會列出所有進程打開的所有文件。
3.3 找出誰在使用某個文件
# lsof /path/to/file
只需要執行文件的絕對路徑，lsof 就會列出所有使用這個文件的進程，你也可以列出多個文件，lsof 會列出所有使用這些文件的進程。
你也可以一次制定多個文件：
# lsof /path/to/file1 /path/to/file2
3.4 遞歸查找某個目錄中所有打開的文件
# lsof +D /usr/lib
加上 + D 參數，lsof 會對指定目錄進行遞歸查找，注意這個參數要比 grep 版本慢：
# lsof | grep /usr/lib
之所以慢是因為 + D 首先查找所有的文件，然后一次性輸出。
3.5 列出某個用戶打開的所有文件
# lsof -u pkrumins
- u 選項限定只列出所有被用戶 pkrumins 打開的文件，你可以通過逗號指定多個用戶：
# lsof -u rms,root
這條命令會列出所有 rms 和 root 用戶打開的文件。
你也可以像下面這樣使用多個 - u 做同樣的事情：
# lsof -u rms -u root
3.6 查找某個程序打開的所有文件
# lsof -c apache
- c 選項限定只列出以 apache 開頭的進程打開的文件：
所以你可以不用像下面這樣寫：
# lsof | grep foo
而使用下面這個更簡短的版本：
# lsof -c foo
事實上，你可以只制定進程名稱的開頭：
# lsof -c apa
這會列出所有以 apa 開頭的進程打開的文件
你同樣可以制定多個 - c 參數：
# lsof -c apache -c python
這會列出所有由 apache 和 python 打開的文件
3.7 列出所有由某個用戶或某個進程打開的文件
# lsof -u pkrumins -c apache
你也可以組合使用多個選項，這些選項默認進行或關聯，也就是說上面的命令會輸入由 pkrumins 用戶或是 apache 進程打開的文件。
3.8 列出所有由一個用戶與某個進程打開的文件
# lsof -a -u pkrumins -c bash
- a 參數可以將多個選項的組合條件由或變為與，上面的命令會顯示所有由 pkrumins 用戶以及 bash 進程打開的文件。
3.9 列出除 root 用戶外的所有用戶打開的文件
# lsof -u ^root
注意 root 前面的 ^ 符號，它執行取反操作，因此 lsof 會列出所有 root 用戶之外的用戶打開的文件。
3.10 列出所有由某個 PID 對應的進程打開的文件
# lsof -p 1
- p 選項讓你可以使用進程 id 來過濾輸出。
記住你也可以用逗號來分離多個 pid。
# lsof -p 450,980,333
列出所有進程打開的文件除了某個 pid 的
# lsof -p ^1
同前面的用戶一樣，你也可以對 - p 選項使用 ^ 來進行取反。
3.11 列出所有網絡連接
# lsof -i
lsof 的 - i 選項可以列出所有打開了網絡套接字（TCP 和 UDP）的進程。
3.12 列出所有 TCP 網絡連接
# lsof -i tcp
也可以為 - i 選項加上參數，比如 tcp，tcp 選項會強制 lsof 只列出打開 TCP sockets 的進程。
3.13 列出所有 UDP 網絡連接
# lsof -i udp
同樣 udp 讓 lsof 只列出使用 UDP socket 的進程。
3.14 找到使用某個端口的進程
# lsof -i :25
:25 和 - i 選項組合可以讓 lsof 列出占用 TCP 或 UDP 的 25 端口的進程。
你也可以使用 /etc/services 中制定的端口名稱來代替端口號，比如：
# lsof -i :smtp
找到使用某個 udp 端口號的進程
# lsof -i udp:53
同樣的，也可以找到使用某個 tcp 端口的進程：
# lsof -i tcp:80
3.15 找到某個用戶的所有網絡連接
# lsof -a -u hacker -i
使用 - a 將 - u 和 - i 選項組合可以讓 lsof 列出某個用戶的所有網絡行為。
3.16 列出所有 NFS（網絡文件系統）文件
# lsof -N
這個參數很好記，- N 就對應 NFS。
3.17 列出所有 UNIX 域 Socket 文件
# lsof -U
這個選項也很好記，- U 就對應 UNIX。
3.18 列出所有對應某個組 id 的進程
# lsof -g 1234
進程組用來來邏輯上對進程進行分組，這個例子查找所有 PGID 為 1234 的進程打開的文件。
3.19 列出所有與某個描述符關聯的文件
# lsof -d 2
這個命令會列出所有以描述符 2 打開的文件。
你也可以為描述符指定一個范圍：
# lsof -d 0-2
這會列出所有描述符為 0，1，2 的文件。
- d 選項還支持其它很多特殊值，下面的命令列出所有內存映射文件：
# lsof -d mem
txt 則列出所有加載在內存中并正在執行的進程：
# lsof -d txt
3.20 輸出使用某些資源的進程 pid
# lsof -t -i
- t 選項輸出進程的 PID，你可以將它和 - i 選項組合輸出使用某個端口的進程的 PID，下面的命令將會殺掉所有使用網絡的進程：
# kill -9 lsof -t -i
3.21 循環列出文件
# lsof -r 1
- r 選項讓 lsof 可以循環列出文件直到被中斷，參數 1 的意思是每秒鐘重復打印一次，這個選項最好同某個范圍比較小的查詢組合使用，比如用來監測網絡活動：
# lsof -r 1 -u john -i -a
四、如何安裝 lsof？
許多 Unix 系統都內置了 lsof，如果你的系統沒有安裝，你可以從這里直接下載源代碼：https://people.freebsd.org/~abe/。
BSD 系統有一個類似的工具可以做同樣的事情，叫做 fstat。
你可以通過 man lsof 來了解關于 lsof 的完整文檔，或者通過 lsof - h 查看。
關于“lsof 命令怎么用”這篇文章就分享到這里了，希望以上內容可以對大家有一定的幫助，使各位可以學到更多知識，如果覺得文章不錯，請把它分享出去讓更多的人看到。
