linux lsof详解

一、lsof简介

lsof全名list openedfiles，也就是列举系统中已经被打开的文件。我们都知道，linux环境中，任何事物都是文件，设备是文件，目录是文件，甚至sockets也是文件。所以，用好lsof命令，对日常的linux管理非常有帮助。以下的说明，大部分内容来自lsof的manual文档。我所做的只是在中文翻译的基础上，进行简单的分类说明，并列举最常用的参数。

1、输出说明
lsof是linux最常用的命令之一，通常的输出格式为：

引用
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME

常见包括如下几个字段：更多的可见manual。
◆ COMMAND：默认以9个字符长度显示的命令名称。可使用+c参数指定显示的宽度，若+c后跟的参数为零，则显示命令的全名
◆ PID：进程的ID号
◆ PPID：父进程的IP号，默认不显示，当使用-R参数可打开。
◆ PGID：进程组的ID编号，默认也不会显示，当使用-g参数时可打开。
◆ USER：命令的执行UID或系统中登陆的用户名称。默认显示为用户名，当使用-l参数时，可显示UID。
◆ FD：是文件的File Descriptor number，或者如下的内容：
（这里很难翻译对应的意思，保留英文）

引用
cwd current working directory;
Lnn library references (AIX);
jld jail directory (FreeBSD);
ltx shared library text (code and data);
Mxx hex memory-mapped type number xx.
m86 DOS Merge mapped file;
mem memory-mapped file;
mmap memory-mapped device;
pd parent directory;
rtd root directory;
tr kernel trace file (OpenBSD);
txt program text (code and data);
v86 VP/ix mapped file;

◆ TYPE：

文件和目录分别称为 REG 和 DIR。而CHR 和 BLK，分别表示字符和块设备；

或者 UNIX、FIFO 和 IPv4，分别表示 UNIX 域套接字、先进先出 (FIFO) 队列和网际协议 (IP) 套接字。

◆ DEVICE：使用character special、block special表示的设备号
◆ SIZE：文件的大小，如果不能用大小表示的，会留空。使用-s参数控制。
◆ NODE：本地文件的node码，或者协议，如TCP等
◆ NAME：挂载点和文件的全路径（链接会被解析为实际路径），或者连接双方的地址和端口、状态等

2、参数
1、不带额外参数运行

lsof path/filename

显示已打开该目录或文件的所有进程信息

lsof `which httpd`

显示指定命令的信息
2、参见参数
-c w 显示以w开头命令的已打开文件的信息

lsof -c sshd

-p PID 显示指定PID已打开文件的信息

lsof -p 4401

+d dir 依照文件夹dir来搜寻，但不会打开子目录

lsof +d /root

+D dir 打开dir文件夹以及其子目录搜寻

lsof +D /root/

-d s 以FD列的信息进行匹配，可使用3-10，表示范围，3,10表示某些值

lsof -d 3-10

-u 显示某用户的已经打开的文件（或该用户执行程序已经打开的文件）

lsof -u root
lsof -u 0

表示不包括root用户的信息：

lsof -u ^root

-i 监听指定的协议、端口、主机等的网络信息，格式为：

引用
lsof [46][proto][@host|addr][:svc_list|port_list]

例如：

lsof -i [email protected]为防备电子邮件地址收集器，这个E-mail 地址被隐藏，你的浏览器必须支持 Javascript 才可看到这个邮件地址
lsof -i:22

还可以使用一些参数控制显示结果：

引用
-l 禁止将userID转换为登陆名称，即显示UID
-n 禁止将IP地址转换为hostname主机文件
-P 不显示端口名称

-g s 从PGID列进行匹配

lsof -g 3-10

3、其他参数
+f 所有路径参数都必须是文件系统，否则不能执行
-f 所有路径参数都将作为普通的文件，例如：”-f ― /”中的/，只会匹配单个/路径，而不会是根目录中的所有文件
+f和-f后都应加上“�C”表终结符：

lsof -f ― /

+L/-L打开或关闭文件的连结数计算，当+L没有指定时，所有的连结数都会显示（默认）；若+L后指定数字，则只要连结数小于该数字的信息会显示；连结数会显示在NLINK列。
例如：+L1将显示没有unlinked的文件信息；+aL1，则显示指定文件系统所有unlinked的文件信息
-L 默认参数，其后不能跟数字，将不显示连结数信息

lsof +L1

-t 仅打印进程，方便shell脚本调用

lsof -t -c sshd

-F 指定输出那个列，可通过lsof -F?查看
-r 不断执行lsof命令，默认每15秒间隔执行一次
+r 也是不断执行lsof命令，但直到没有接受到文件信息，则停止

二、lsof使用实例

1、查找谁在使用文件系统

在卸载文件系统时，如果该文件系统中有任何打开的文件，操作通常将会失败。

那么通过lsof可以找出那些进程在使用当前要卸载的文件系统，如下：

# lsof /GTES11/

COMMAND PID USER FD TYPE DEVICE SIZE NODE NAMEbash 4208 root cwd DIR 3,1 4096 2 /GTES11/vim 4230 root cwd DIR 3,1 4096 2 /GTES11/

在这个示例中，用户root正在其/GTES11目录中进行一些操作。一个 bash是实例正在运行，并且它当前的目录为/GTES11，另一个则显示的是vim正在编辑/GTES11下的文件。要成功地卸载/GTES11，应该在通知用户以确保情况正常之后，中止这些进程。 这个示例说明了应用程序的当前工作目录非常重要，因为它仍保持着文件资源，并且可以防止文件系统被卸载。这就是为什么大部分守护进程（后台进程）将它们的目录更改为根目录、或服务特定的目录（如 sendmail 示例中的 /var/spool/mqueue）的原因，以避免该守护进程阻止卸载不相关的文件系统。

2、恢复删除的文件

当Linux计算机受到入侵时，常见的情况是日志文件被删除，以掩盖攻击者的踪迹。管理错误也可能导致意外删除重要的文件，比如在清理旧日志时，意外地删除了数据库的活动事务日志。有时可以通过lsof来恢复这些文件。

当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外，这个文件是不可见的，因为已经删除了其相应的目录索引节点。

在/proc 目录下，其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域，所以这些文件和目录并不存在于磁盘中，因此当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。大多数与 lsof 相关的信息都存储于以进程的 PID 命名的目录中，即 /proc/1234 中包含的是 PID 为 1234 的进程的信息。每个进程目录中存在着各种文件，它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信息。lsof 程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof 可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。

当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。 假如由于误操作将/var/log/messages文件删除掉了，那么这时要将/var/log/messages文件恢复的方法如下：

首先使用lsof来查看当前是否有进程打开/var/logmessages文件，如下： 

# lsof |grep /var/log/messages

syslogd 1283 root 2w REG 3,3 5381017 1773647 /var/log/messages (deleted)

从上面的信息可以看到 PID 1283（syslogd）打开文件的文件描述符为 2。

同时还可以看到/var/log/messages已经标记被删除了。因此我们可以在 /proc/1283/fd/2 （fd下的每个以数字命名的文件表示进程对应的文件描述符）中查看相应的信息，如下：

# head -n 10 /proc/1283/fd/2

Aug 4 13:50:15 holmes86 syslogd 1.4.1: restart.Aug 4 13:50:15 holmes86 kernel: klogd 1.4.1, log source = /proc/kmsg started.Aug 4 13:50:15 holmes86 kernel: Linux version 2.6.22.1-8 ([email protected]) (gcc version 4.2.0) #1 SMP Wed Jul 18 11:18:32 EDT 2007Aug 4 13:50:15 holmes86 kernel: BIOS-provided physical RAM map:Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 0000000000000000 - 000000000009f000 (usable)Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 000000000009f000 - 00000000000a0000 (reserved)Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 0000000000100000 - 000000001f7d3800 (usable)Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 000000001f7d3800 - 0000000020000000 (reserved)Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 00000000e0000000 - 00000000f0007000 (reserved)Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 00000000f0008000 - 00000000f000c000 (reserved)

从上面的信息可以看出，查看 /proc/8663/fd/15 就可以得到所要恢复的数据。如果可以通过文件描述符查看相应的数据，那么就可以使用 I/O 重定向将其复制到文件中，如:

cat /proc/1283/fd/2 > /var/log/messages 

对于许多应用程序，尤其是日志文件和数据库，这种恢复删除文件的方法非常有用。