Linux如何查看文件进程占用-lsof

lsof命令是什么？

可以列出被进程所打开的文件的信息。被打开的文件可以是

1.普通的文件，2.目录  3.网络文件系统的文件，4.字符设备文件  5.(函数)共享库  6.管道，命名管道 7.符号链接

8.底层的socket字流，网络socket，unix域名socket

9.在linux里面，大部分的东西都是被当做文件的…..还有其他很多

怎样使用lsof

这里主要用案例的形式来介绍lsof 命令的使用

1.列出所有打开的文件:

lsof

备注: 如果不加任何参数，就会打开所有被打开的文件，建议加上一下参数来具体定位

2. 查看谁正在使用某个文件

lsof   /filepath/file

3.递归查看某个目录的文件信息

lsof +D /filepath/filepath2/

备注: 使用了+D，对应目录下的所有子目录和文件都会被列出

4. 比使用+D选项，遍历查看某个目录的所有文件信息 的方法

lsof | grep ‘/filepath/filepath2/’

5. 列出某个用户打开的文件信息

lsof  -u username

备注: -u 选项，u其实是user的缩写

6. 列出某个程序所打开的文件信息

lsof -c mysql

备注: -c 选项将会列出所有以mysql开头的程序的文件，其实你也可以写成 lsof | grep mysql, 但是第一种方法明显比第二种方法要少打几个字符了

7. 列出多个程序多打开的文件信息

lsof -c mysql -c apache

8. 列出某个用户以及某个程序所打开的文件信息

lsof -u test -c mysql

9. 列出除了某个用户外的被打开的文件信息

lsof   -u ^root

备注：^这个符号在用户名之前，将会把是root用户打开的进程不让显示

10. 通过某个进程号显示该进行打开的文件

lsof -p 1

11. 列出多个进程号对应的文件信息

lsof -p 123,456,789

12. 列出除了某个进程号，其他进程号所打开的文件信息

lsof -p ^1

13 . 列出所有的网络连接

lsof -i

14. 列出所有tcp 网络连接信息

lsof  -i tcp

15. 列出所有udp网络连接信息

lsof  -i udp

16. 列出谁在使用某个端口

lsof -i :3306

17. 列出谁在使用某个特定的udp端口

lsof -i udp:55

特定的tcp端口

lsof -i tcp:80

18. 列出某个用户的所有活跃的网络端口

lsof  -a -u test -i

19. 列出所有网络文件系统

lsof -N

20.域名socket文件

lsof -u

21.某个用户组所打开的文件信息

lsof -g 5555

22. 根据文件描述列出对应的文件信息

lsof -d description(like 2)

23. 根据文件描述范围列出文件信息

lsof -d 2-3
 

二.lsof使用案例

1>.统计操作系统所有打开的文件（如果不加任何参数，就会打开所有被打开的文件，建议加上一下参数来具体定位）

[root@yinzhengjie ~]# hostname
yinzhengjie
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# hostname -i
10.1.2.105
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# lsof | wc -l                          　#突然发现我的虚拟机还听可以的，竟然能打开33万的连接数呢！
334283
[root@yinzhengjie ~]# 

2>.递归查看某个目录正在使用的文件信息

[root@yinzhengjie ~]# lsof +D /soft/　　　　　　　　　　　　　　　　#使用了+D，对应目录下的所有子目录和文件都会被列出

[root@yinzhengjie ~]# lsof +D /soft/
COMMAND   PID   USER   FD   TYPE DEVICE SIZE/OFF      NODE NAME
java     9462   hdfs  txt    REG  253,0     7734  38887742 /soft/jdk1.8.0_131/bin/java
java     9462   hdfs  mem    REG  253,0  1179093  34301206 /soft/jdk1.8.0_131/jre/lib/ext/localedata.jar
java     9462   hdfs  mem    REG  253,0  3860502  34301202 /soft/jdk1.8.0_131/jre/lib/ext/cldrdata.jar
java     9462   hdfs  mem    REG  253,0  3135391  34301139 /soft/jdk1.8.0_131/jre/lib/charsets.jar

3>.查看某个文件正在被谁使用

[root@yinzhengjie ~]# lsof /soft/jdk1.8.0_131/bin/java　　　　　　　　　　　　　　　　　　　　　　#如果没有输出的话，则说明没有任何用户使用当前文件哟！
COMMAND   PID   USER  FD   TYPE DEVICE SIZE/OFF     NODE NAME
java     9462   hdfs txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java     9464 httpfs txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java     9466   hdfs txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java    10309 mapred txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java    10339   yarn txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java    10367 mapred txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java    11052  spark txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
java    11054  spark txt    REG  253,0     7734 38887742 /soft/jdk1.8.0_131/bin/java
[root@yinzhengjie ~]# 字段补充说明，lsof输出各列信息的意义如下：
COMMAND：进程的名称 PID：进程标识符USER：进程所有者FD：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等 TYPE：文件类型，如DIR、REG等DEVICE：指定磁盘的名称
SIZE：文件的大小NODE：索引节点（文件在磁盘上的标识）NAME：打开文件的确切名称FD 列中的文件描述符cwd 值表示应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改,txt 类型的文件是程序代码，如应用程序二进制文件本身或共享库，
如上列表中显示的 /sbin/init 程序。对文件描述符FD的补充说明：其次数值表示应用程序的文件描述符，这是打开该文件时返回的一个整数。如上的最后一行文件/dev/initctl，其文件描述符为 10。u 表示该文件被打开并处于读取/写入模式，而不是只读 ® 或只写 (w) 模式。
同时还有大写 的W 表示该应用程序具有对整个文件的写锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时，都具有三个文件描述符，从 0 到 2，分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的 FD 都是从 3 开始。与 FD 列相比，Type 列则比较直观。文件和目录分别称为 REG 和 DIR。而CHR 和 BLK，分别表示字符和块设备；或者 UNIX、FIFO 和 IPv4，分别表示 UNIX 域套接字、先进先出 (FIFO) 队列和网际协议 (IP) 套接字。

4>.列出某个程序所打开的文件信息 

[root@yinzhengjie ~]# lsof -c java | wc -l　　　　　　　　　　 #我们统计一下java进程打开的文件数
3385
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# lsof | grep java | wc -l     　　　　　　#你会发现下面的这个参数这个文件打开文件数要比上面的多得多呢！
318720
[root@yinzhengjie ~]# 

5>.列出多个程序多打开的文件信息 

[root@yinzhengjie ~]# lsof -c java | wc -l
3385
[root@yinzhengjie ~]# lsof -c mysql | wc -l
152
[root@yinzhengjie ~]# lsof -c java -c mysql | wc -l 
3537
[root@yinzhengjie ~]# 

6>.列出某个用户通过某个命令打开的文件数

[root@yinzhengjie ~]# lsof -u root -c mysql |wc -l
2270
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# lsof -u hdfs -c mysql |wc -l    
1063
[root@yinzhengjie ~]# 
[root@yinzhengjie ~]# lsof -u hive -c mysql |wc -l   
152
[root@yinzhengjie ~]# 

7>.使用-i显示所有连接（其功能并不比netstat -untalp功能弱！）

[root@yinzhengjie ~]# lsof -i
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
httpd       505 apache    4u  IPv6   25731      0t0  TCP *:http (LISTEN)
chronyd     881 chrony    1u  IPv4   29047      0t0  UDP localhost:323 
chronyd     881 chrony    2u  IPv6   29048      0t0  UDP localhost:323 
chronyd     881 chrony    4u  IPv4 3586879      0t0  UDP node105.yinzhengjie.org.cn:52474->119.28.183.184:ntp 

[root@yinzhengjie ~]# lsof -iUDP [root@yinzhengjie ~]# lsof -iUDP　　　　　　　　　　　　#仅显示UDP信息

[root@yinzhengjie ~]# lsof -iTCP　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　#仅显示TCP信息

[root@yinzhengjie ~]# lsof -i 6　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　#仅获取ipv6的流量

8>.显示与指定端口相关的网络信息

[root@yinzhengjie ~]# lsof -i:50070
COMMAND  PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
java    9462 hdfs  173u  IPv4 179459      0t0  TCP node105.yinzhengjie.org.cn:50070 (LISTEN)
[root@yinzhengjie ~]#  

9>.显示指定到指定主机的连接  

[root@yinzhengjie ~]# lsof [email protected]
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
cmf-agent  8393   root   13u  IPv4  159710      0t0  TCP node105.yinzhengjie.org.cn:57772->node101.yinzhengjie.org.cn:7182 (ESTABLISHED)
cmf-agent  8393   root   15u  IPv4  176648      0t0  TCP node105.yinzhengjie.org.cn:59654->node101.yinzhengjie.org.cn:palace-4 (ESTABLISHED)

10>.找出正在等候链接的端口

[root@yinzhengjie ~]# lsof -i -sTCP:LISTEN
COMMAND     PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
httpd       505 apache    4u  IPv6  25731      0t0  TCP *:http (LISTEN)
sshd       1108   root    3u  IPv4  25711      0t0  TCP *:ssh (LISTEN)
sshd       1108   root    4u  IPv6  25713      0t0  TCP *:ssh (LISTEN)
httpd      1119   root    4u  IPv6  25731      0t0  TCP *:http (LISTEN)

[root@yinzhengjie ~]# lsof -i | grep -i LISTEN
httpd       505 apache    4u  IPv6   25731      0t0  TCP *:http (LISTEN)
sshd       1108   root    3u  IPv4   25711      0t0  TCP *:ssh (LISTEN)

11>.找出已经建立链接的端口

[root@yinzhengjie ~]# lsof -i -sTCP:ESTABLISHED
COMMAND     PID   USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
mysqld     1461  mysql   86u  IPv6   10121      0t0  TCP node105.yinzhengjie.org.cn:mysql->10.19.104.189:45260 (ESTABLISHED)
sshd       7361   root    3u  IPv4 2534674      0t0  TCP node105.yinzhengjie.org.cn:ssh->10.19.104.189:60030 (ESTABLISHED)
cmf-agent  8393   root    8u  IPv4  153213      0t0  TCP localhost:41146->localhost:19001 (ESTABLISHED)
cmf-agent  8393   root   13u  IPv4  159710      0t0  TCP node105.yinzhengjie.org.cn:57772->node101.yinzhengjie.org.cn:7182 (ESTABLISHED)

12>.查看某个进程打开的文件句柄

root@virtual-machine:/opt/stack/tmp# lsof -p 3296
lsof: WARNING: can't stat() fuse.gvfsd-fuse file system /run/user/1000/gvfs
      Output information may be incomplete.
lsof: WARNING: can't stat() fuse.portal file system /run/user/1000/doc
      Output information may be incomplete.
COMMAND  PID USER   FD   TYPE             DEVICE SIZE/OFF   NODE NAME
sshd    3296  root cwd    DIR               0,27       25     34 /
sshd    3296  root rtd    DIR               0,27       25     34 /
sshd    3296  root txt    REG               0,27   917192 400172 /usr/sbin/sshd
sshd    3296  root mem    REG               0,27   309600 492024 /usr/lib/x86_64-linux-gnu/libnss_systemd.so.2