lsof 命令实用用法介绍
Table of Contents
前言
Linux 下有哪些文件
lsof 命令实用用法介绍
查看当前打开的所有文件
列出被删除但占用空间的文件
恢复打开但被删除的文件
查看当前文件被哪些进程打开
查看某个目录文件被打开情况
查看当前进程打开了哪些文件
也可以通过进程id查看,可跟多个进程id，使用逗号隔开：
查看某个端口被占用情况
查看所有的TCP/UDP连接
查看某个用户打开了哪些文件
列出除了某个进程或某个用户打开的文件
总结
前言
我们都知道，在linux下，“一切皆文件”，因此有时候查看文件的打开情况，就显得格外重要，而这里有一个命令能够在这件事上很好的帮助我们-它就是lsof。
Linux 下有哪些文件
在介绍lsof命令之前，先简单说一下，linux主要有哪些文件：
普通文件
目录
符号链接
面向块的设备文件
面向字符的设备文件
管道和命名管道
套接字
不禁想起了https://blog.csdn.net/Rong_Toa/article/details/88369138
/* File types for `d_type'. */
enum{DT_UNKNOWN = 0,
# define DT_UNKNOWN DT_UNKNOWNDT_FIFO = 1,
# define DT_FIFO DT_FIFODT_CHR = 2,
# define DT_CHR DT_CHRDT_DIR = 4,
# define DT_DIR DT_DIRDT_BLK = 6,
# define DT_BLK DT_BLKDT_REG = 8,
# define DT_REG DT_REGDT_LNK = 10,
# define DT_LNK DT_LNKDT_SOCK = 12,
# define DT_SOCK DT_SOCKDT_WHT = 14
# define DT_WHT DT_WHT};以上各类文件类型不多做详细介绍。
lsof 命令实用用法介绍
lsof，是list open files的简称。它的参数很多，但是我们这里只介绍一些实用的用法（注意有些情况需要root权限执行）。
查看当前打开的所有文件
一般来说，直接输入lsof命令产生的结果实在是太多，可能很难找到我们需要的信息。不过借此说明一下一条记录都有哪些信息。
$ lsof（这里选取一条记录显示）
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
vi 27940 hyb 7u REG 8,15 16384 137573 /home/hyb/.1.txt.swp
lsof显示的结果，从左往右分别代表：打开该文件的程序名，进程id，用户，文件描述符，文件类型，设备，大小，iNode号，文件名。
我们暂且先关注我们知道的列。这条记录，表明进程id为27940的vi程序，打开了文件描述值为7，且处于读写状态的，在/home/hyb目录下的普通文件(REG regular file).1.txt.swap，当前大小16384字节。
列出被删除但占用空间的文件
在生产环境中，我们可能会使用df命令看到磁盘空间占满了，然而实际上又很难找到占满空间的文件，这常常是由于某个大文件被删除了，但是它却被某个进程打开，导致通过普通的方式找不到它的踪迹，最常见的就是日志文件。我们可以通过lsof来发现这样的文件：
$ lsof |grep deleted
Xorg 1131 root 125u REG 0,5 4 61026 /memfd:xshmfence (deleted)
Xorg 1131 root 126u REG 0,5 4 62913 /memfd:xshmfence (deleted)
Xorg 1131 root 129u REG 0,5 4 74609 /memfd:xshmfence (deleted)
可以看到这些被删除的但仍然被打开文件，最后查找出来的时候，会被标记deleted。这个时候就可以根据实际情况分析，到底哪些文件可能过大但是却被删除了，导致空间仍然占满。
恢复打开但被删除的文件
前面我们可以找到被删除但是仍然被打开的文件，实际上文件并没有真正的消失，如果是意外被删除的，我们还有手段恢复它。以/var/log/syslog文件为例，我们先删除它(root用户)：
$ rm /var/log/syslog
然后使用lsof查看那个进程打开了该文件：
$ lsof |grep syslog
rs:main 993 1119 syslog 5w REG 8,10 78419 528470 /var/log/syslog (deleted)
可以找到进程id为993的进程打开了该文件，我们知道每个进程在/proc下都有文件描述符打开的记录：
$ ls -l /proc/993/fd
lr-x------ 1 root root 64 3月 5 18:30 0 -> /dev/null
l-wx------ 1 root root 64 3月 5 18:30 1 -> /dev/null
l-wx------ 1 root root 64 3月 5 18:30 2 -> /dev/null
lrwx------ 1 root root 64 3月 5 18:30 3 -> socket:[15032]
lr-x------ 1 root root 64 3月 5 18:30 4 -> /proc/kmsg
l-wx------ 1 root root 64 3月 5 18:30 5 -> /var/log/syslog (deleted)
l-wx------ 1 root root 64 3月 5 18:30 6 -> /var/log/auth.log
这里就找到了被删除的syslog文件,文件描述符是５，我们把它重定向出来：
$ cat /proc/993/fd/5 > syslog
$ ls -al /var/log/syslog
-rw-r--r-- 1 root root 78493 3月 5 19:22 /var/log/syslog
这样我们就恢复了syslog文件。
查看当前文件被哪些进程打开
Windows下经常遇到要删除某个文件，然后告诉你某个程序正在使用，然而不告诉你具体是哪个程序。我们可以在资源管理器-性能-资源监视器-cpu-关联的句柄处搜索文件，即可找到打开该文件的程序，但是搜索速度感人。
linux就比较容易了，使用lsof命令就可以了，例如要查看当前哪些程序打开了hello.c:
$ lsof hello.c
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
tail 28731 hyb 3r REG 8,15 228 138441 hello.c
但是我们会发现，使用vi打开的hello.c并没有找出来，这是因为vi打开的是一个临时副本。我们换一种方式查找：
$ lsof |grep hello.c
tail 28906 hyb 3r REG 8,15 228 138441 /home/hyb/workspaces/c/hello.c
vi 28933 hyb 9u REG 8,15 12288 137573 /home/hyb/workspaces/c/.hello.c.swp
这样我们就找到了两个程序和hello.c文件相关。
这里grep的作用是从所有结果中只列出符合条件的结果。
查看某个目录文件被打开情况
$ lsof +D ./
查看当前进程打开了哪些文件
使用方法：lsof -c 进程名
通常用于程序定位问题，例如用于查看当前进程使用了哪些库，打开了哪些文件等等。假设有一个循环打印字符的hello程序：
$ lsof -c hello
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
hello 29190 hyb cwd DIR 8,15 4096 134538 /home/hyb/workspaces/c
hello 29190 hyb rtd DIR 8,10 4096 2 /
hello 29190 hyb txt REG 8,15 9816 138314 /home/hyb/workspaces/c/hello
hello 29190 hyb mem REG 8,10 1868984 939763 /lib/x86_64-linux-gnu/libc-2.23.so
hello 29190 hyb mem REG 8,10 162632 926913 /lib/x86_64-linux-gnu/ld-2.23.so
hello 29190 hyb 0u CHR 136,20 0t0 23 /dev/pts/20
hello 29190 hyb 1u CHR 136,20 0t0 23 /dev/pts/20
hello 29190 hyb 2u CHR 136,20 0t0 23 /dev/pts/20
我们可以从中看到，至少它用到了/lib/x86_64-linux-gnu/libc-2.23.so以及hello文件。
也可以通过进程id查看,可跟多个进程id，使用逗号隔开：
$ lsof -p 29190
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
hello 29190 hyb cwd DIR 8,15 4096 134538 /home/hyb/workspaces/c
hello 29190 hyb rtd DIR 8,10 4096 2 /
hello 29190 hyb txt REG 8,15 9816 138314 /home/hyb/workspaces/c/hello
hello 29190 hyb mem REG 8,10 1868984 939763 /lib/x86_64-linux-gnu/libc-2.23.so
hello 29190 hyb mem REG 8,10 162632 926913 /lib/x86_64-linux-gnu/ld-2.23.so
hello 29190 hyb 0u CHR 136,20 0t0 23 /dev/pts/20
hello 29190 hyb 1u CHR 136,20 0t0 23 /dev/pts/20
hello 29190 hyb 2u CHR 136,20 0t0 23 /dev/pts/20
当然这里还有一种方式，就是利用proc文件系统，首先找到hello进程的进程id:
$ ps -ef|grep hello
hyb 29190 27929 0 21:14 pts/20 00:00:00 ./hello 2
hyb 29296 28848 0 21:18 pts/22 00:00:00 grep --color=auto hello
可以看到进程id为29190，查看该进程文件描述记录目录：
$ ls -l /proc/29190/fd
lrwx------ 1 hyb hyb 64 3月 2 21:14 0 -> /dev/pts/20
lrwx------ 1 hyb hyb 64 3月 2 21:14 1 -> /dev/pts/20
lrwx------ 1 hyb hyb 64 3月 2 21:14 2 -> /dev/pts/20
这种方式能够过滤很多信息，因为它只列出了该进程实际打开的，这里它只打开了1,2,3，即标准输入，标准输出和标准错误。
查看某个端口被占用情况
在使用数据库或者启用web服务的时候，总能遇到端口占用问题，那么怎么查看某个端口是否被占用呢？
$ lsof -i :6379
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
redis-ser 29389 hyb 6u IPv6 534612 0t0 TCP *:6379 (LISTEN)
redis-ser 29389 hyb 7u IPv4 534613 0t0 TCP *:6379 (LISTEN)
这里可以看到redis-ser进程占用了6379端口。
查看所有的TCP/UDP连接
$ lsof -i tcp
ava 2534 hyb 6u IPv6 31275 0t0 TCP localhost:9614 (LISTEN)
java 2534 hyb 22u IPv6 96922 0t0 TCP localhost:9614->localhost:39004 (ESTABLISHED)
java 2534 hyb 23u IPv6 249588 0t0 TCP localhost:9614->localhost:45460 (ESTABLISHED)
当然我们也可以使用netstat命令。
$ netstat -anp|grep 6379
这里的-i参数可以跟多种条件：
-i 4 #ipv4地址
-i 6 #ipv6地址
-i tcp #tcp连接
-i :3306 #端口
-i @ip #ip地址
因此需要查看与某个ip地址建立的连接时，可以使用下面的方式：
$ lsof -i@127.0.0.1
查看某个用户打开了哪些文件
linux是一个多用户操作系统，怎么知道其他普通用户打开了哪些文件呢？可使用－ｕ参数
$ lsof -u hyb
（内容太多，省略）
列出除了某个进程或某个用户打开的文件
实际上和前面使用方法类似，只不过，在进程id前面或者用户名前面加^，例如：
lsof -p ^1 #列出除进程id为１的进程以外打开的文件
lsof -u ^root #列出除root用户以外打开的文件
总结
以上介绍基于一个条件，实际上多个条件可以组合，例如列出进程id为１的进程打开的tcp套接字文件：
lsof -p 1 -i tcp
lsof参数很多，具体的可以使用man命令查看，但是对于我们来说，知道这些实用的基本足够。
转自微信：如何查看 Linux 中文件打开情况？
lsof 命令实用用法介绍相关推荐
- linux命令 删除alias,Linux下alias命令的用法介绍
本篇文章给大家带来的内容是关于Linux下alias命令的用法介绍,有一定的参考价值,有需要的朋友可以参考一下,希望对你有所帮助. 最近在使用ssh连接远程机器敲了类似ssh -i ~/.ssh/13 ...
- java javac命令用法_javac命令的用法介绍
javac命令的用法介绍,javac命令参数实例,参数有哪些?相关参数介绍: javac的用法: javac 其中, 可能的选项包括: -g 生成所有调试信息 -g:none 不生成任何调试信息 -g ...
- Linux下lsof命令的用法
lsof命令基本使用方法 文章目录 lsof命令基本使用方法 1. lsof介绍 1.1 lsof命令使用 1.2 lsof中各列信息 关于FD的补充说明 1.3 lsof的选项信息 1.4 具体使用 ...
- apt apt 用法_apt命令–实用用法指南
apt apt 用法 This guide will walk you through everything you'd need to start using the apt command in ...
- Linux sed命令的用法介绍
1. sed命令简介 sed是非交互式的编辑器.它不会修改文件,除非使用shell重定向来保存结果.默认情况下,所有的输出行都被打印到屏幕上. sed编辑器逐行处理文件(或输入),并将结果发送到屏幕. ...
- mysqlshow命令的用法介绍
2019独角兽企业重金招聘Python工程师标准>>> MySQL自带的mysqlshow命令,可以让我们在不连接到MySQL客户端的情况下查看MySQL的一些参数.数据库.表.列. ...
- linux cut 命令,Linux cut命令的用法介绍
Linux cut命令用于根据字段提取文件内容.文本文件没有像数据库那样的行/列,有时我们只需要单列数据.根据分隔符剪切已识别的列(例如:冒号':',分号';',逗号','等). 对于下面示例,我们采 ...
- linux lsof命令详解,linux lsof命令详解一切皆文件
在linux下,"一切皆文件",任何事物都以文件的形式存在,lsof全称list open files,中文翻译列出当前系统打开文件, 以 root 用户的身份运行它才能够充分地发 ...
- linux 文件恢复删除文件,Linux通过lsof命令恢复误删文件的步骤
Linux系统下lsof命令的用法有很多,恢复误删文件就是其中一种用法,特别是日志类文件的恢复,下面小编就给大家介绍下Linux使用lsof命令恢复误删文件的方法. 前提条件:该文件在删除后,仍然被进 ...
最新文章
- 《大道至简》读后感（伪代码）
- CVPR2021|SpinNet：学习用于3D点云配准的通用表面描述符
- python在财务上的应用-致工作党：Python这项技能你一定要会
- Oracle系统用户的默认密码及功能
- android 泰语资源,Android 泰语、缅甸语等复杂语言圈圈问题
- 如何设计第三方账号登陆？
- 关于HTML、js加密、混淆、源码保护、代码安全，防止解压直接看源码
- js学习总结----案例之多级菜单js版本
- 使用XStream对Java对象进行序列化和反序列化
- oracle 控制文件在哪里设置_oracle的controlfile控制文件
- sparklyr 1.0发布，有哪些新功能？
- 安装axios太慢解决方案
- .NET 升级发布后，IIS出现了System.IO.DirectoryNotFoundException
- c执行cmd pdf2swf_SWFTOOLS PDF2SWF 参数详解
- 数学/线性代数 {子式,余子式,代数余子式,拉普拉斯展开}
- Java中多选题判断正确
- 北京星美影院等五家企业因拒收现金被央行警告处罚
- 「运维有小邓」给企业文件服务器加把锁（文件服务器审计）
- 免费正版 IntelliJ IDEA license 详细指南
- 时间序列论文: NeuralProphet: Explainable Forecasting at Scale