关于lsof的使用

通过查看打开的文件,了解更多关于系统的信息。了解应用程序打开了哪些文件或者哪个应用程序打开了特定的文件,作为系统管理员,这将使得您能够作出更好的决策。例如,您不应该卸载具有打开文件的文件系统。使用 lsof,您可以检查打开的文件,并根据需要在卸载之前中止相应的进程。同样地,如果您发现了一个未知的文件,那么可以找出到底是哪个应用程序打开了这个文件。

2012-05-30 15:09:34

列出所有打开的文件


# lsof


不带任何参数运行lsof会列出所有进程打开的所有文件。


找出谁在使用某个文件


# lsof /path/to/file


只需要执行文件的路径,lsof就会列出所有使用这个文件的进程,你也可以列出多个文件,lsof会列出所有使用这些文件的进程。


你也可以一次制定多个文件:


# lsof /path/to/file1 /path/to/file2


递归查找某个目录中所有打开的文件


# lsof +D /usr/lib


加上+D参数,lsof会对指定目录进行递归查找,注意这个参数要比grep版本慢:


# lsof | grep '/usr/lib'


之所以慢是因为+D首先查找所有的文件,然后一次性输出。


列出某个用户打开的所有文件


# lsof -u pkrumins


-u选项限定只列出所有被用户pkrumins打开的文件,你可以通过逗号指定多个用户:


# lsof -u rms,root


这条命令会列出所有rms和root用户打开的文件。


你也可以像下面这样使用多个-u做同样的事情:


# lsof -u rms -u root


查找某个程序打开的所有文件


# lsof -c apache


-c选项限定只列出以apache开头的进程打开的文件:


所以你可以不用像下面这样写:


# lsof | grep foo


而使用下面这个更简短的版本:


# lsof -c foo


事实上,你可以只制定进程名称的开头:


# lsof -c apa


这会列出所有以apa开头的进程打开的文件


你同样可以制定多个-c参数:


# lsof -c apache -c python


这会列出所有由apache和python打开的文件


列出所有由某个用户或某个进程打开的文件


# lsof -u pkrumins -c apache


你也可以组合使用多个选项,这些选项默认进行或关联,也就是说上面的命令会输入由pkrumins用户或是apache进程打开的文件。


列出所有由一个用户与某个进程打开的文件


# lsof -a -u pkrumins -c bash


-a参数可以将多个选项的组合条件由或变为与,上面的命令会显示所有由pkrumins用户以及bash进程打开的文件。


列出除root用户外的所有用户打开的文件


# lsof -u ^root


注意root前面的^符号,它执行取反操作,因此lsof会列出所有root用户之外的用户打开的文件。


列出所有由某个PID对应的进程打开的文件


# lsof -p 1


-p选项让你可以使用进程id来过滤输出。


记住你也可以用都好来分离多个pid。


# lsof -p 450,980,333


列出所有进程打开的文件除了某个pid的


# lsof -p ^1


同前面的用户一样,你也可以对-p选项使用^来进行取反。


列出所有网络连接


# lsof -i


lsof的-i选项可以列出所有打开了网络套接字(TCP和UDP)的进程。


列出所有TCP网络连接


# lsof -i tcp


也可以为-i选项加上参数,比如tcp,tcp选项会强制lsof只列出打开TCP sockets的进程。


列出所有UDP网络连接


# lsof -i udp


同样udp让lsof只列出使用UDP socket的进程。


找到使用某个端口的进程


# lsof -i :25


:25和-i选项组合可以让lsof列出占用TCP或UDP的25端口的进程。


你也可以使用/etc/services中制定的端口名称来代替端口号,比如:


# lsof -i :smtp


找到使用某个udp端口号的进程


# lsof -i udp:53


同样的,也可以找到使用某个tcp端口的进程:


# lsof -i tcp:80


找到某个用户的所有网络连接


# lsof -a -u hacker -i


使用-a将-u和-i选项组合可以让lsof列出某个用户的所有网络行为。


列出所有NFS(网络文件系统)文件


# lsof -N


这个参数很好记,-N就对应NFS。


列出所有UNIX域Socket文件


# lsof -U


这个选项也很好记,-U就对应UNIX。


列出所有对应某个组id的进程


# lsof -g 1234


进程组用来来逻辑上对进程进行分组,这个例子查找所有PGID为1234的进程打开的文件。


列出所有与某个描述符关联的文件


# lsof -d 2


这个命令会列出所有以描述符2打开的文件。


你也可以为描述符指定一个范围:


# lsof -d 0-2


这会列出所有描述符为0,1,2的文件。


-d选项还支持其它很多特殊值,下面的命令列出所有内存映射文件:


# lsof -d mem


txt则列出所有加载在内存中并正在执行的进程:


# lsof -d txt


输出使用某些资源的进程pid


# lsof -t -i


-t选项输出进程的PID,你可以将它和-i选项组合输出使用某个端口的进程的PID,下面的命令将会杀掉所有使用网络的进程:


# kill -9 `lsof -t -i`


循环列出文件


# lsof -r 1


-r选项让lsof可以循环列出文件直到被中断,参数1的意思是每秒钟重复打印一次,这个选项最好同某个范围比较小的查询组合使用,比如用来监测网络活动:


# lsof -r 1 -u john -i -a

徜徉于这片废土的我们.....应当去哪里追寻更好的自己?