lsof(list open files)是一個(gè)查看進(jìn)程打開的文件的工具。

在 linux 系統(tǒng)中，一切皆文件。通過文件不僅僅可以訪問常規(guī)數(shù)據(jù)，還可以訪問網(wǎng)絡(luò)連接和硬件。所以 lsof 命令不僅可以查看進(jìn)程打開的文件、目錄，還可以查看進(jìn)程監(jiān)聽的端口等 socket 相關(guān)的信息。本文將介紹 lsof 命令的基本用法，本文中 demo 的演示環(huán)境為 ubuntu 18.04。

常用選項(xiàng)

-a 指示其它選項(xiàng)之間為與的關(guān)系
-c <進(jìn)程名> 輸出指定進(jìn)程所打開的文件
-d <文件描述符> 列出占用該文件號的進(jìn)程
+d <目錄> 輸出目錄及目錄下被打開的文件和目錄(不遞歸)
+D <目錄> 遞歸輸出及目錄下被打開的文件和目錄
-i <條件> 輸出符合條件與網(wǎng)絡(luò)相關(guān)的文件
-n 不解析主機(jī)名
-p <進(jìn)程號> 輸出指定 PID 的進(jìn)程所打開的文件
-P 不解析端口號
-t 只輸出 PID
-u 輸出指定用戶打開的文件
-U 輸出打開的 UNIX domain socket 文件
-h 顯示幫助信息
-v 顯示版本信息

基本輸出

如果不帶任何選項(xiàng)執(zhí)行 lsof 命令，會(huì)輸出系統(tǒng)中所有 active 進(jìn)程打開的所有文件，結(jié)果就是我們被輸出的信息所淹沒，這沒有任何的意義。我們先讓 lsof 命令輸出當(dāng)前 Bash 進(jìn)程打開的文件，并截取其中的一部分結(jié)果來介紹輸出內(nèi)容中都包含哪些信息：

COMMAND：程序的名稱
PID：進(jìn)程標(biāo)識(shí)符
USER：進(jìn)程所有者
FD：文件描述符，應(yīng)用程序通過文件描述符識(shí)別該文件
TYPE：文件類型，如 DIR、REG 等
DEVICE：以逗號分隔設(shè)備編號
SIZE：文件的大小(bytes)
NODE：索引節(jié)點(diǎn)(文件在磁盤上的標(biāo)識(shí))
NAME：打開文件的確切名稱

下面簡單介紹一下 FD 列和 TYPE 列中的常見內(nèi)容。
FD 列中的常見內(nèi)容有 cwd、rtd、txt、mem 和一些數(shù)字等等。其中 cwd 表示當(dāng)前的工作目錄；rtd 表示根目錄；txt 表示程序的可執(zhí)行文件；mem 表示內(nèi)存映射文件：

還有一部分 FD 是以數(shù)字表示的，比如標(biāo)準(zhǔn)輸入輸出文件：

數(shù)字后面的字母表示進(jìn)程對該文件的讀寫模式，比如上圖中的 u 表示該文件被打開并處于讀取/寫入模式。除了 u，還有 r 表示只讀模式，w 表示只寫模式，還可以同時(shí)應(yīng)用 W 表示該進(jìn)程擁有對文件寫操作的鎖。下圖是截取的 docker daemon 進(jìn)程打開的文件列表，其中顯示了 FD 的不同模式：

TYPE 列中常見的 REG 和 DIR 分別表示普通文件和目錄。而 CHR 和 BLK 則分別表示字符和塊設(shè)備，unix、fifo 和 IPv4/IPv6 分別表示 UNIX domain 套接字、先進(jìn)先出(FIFO)隊(duì)列和 IPv4/IPv6 套接字。

下面我們來介紹一些 lsof 命令的常見用法。

查看哪些進(jìn)程打開了某個(gè)文件

直接指定文件的名稱作為 lsof 的參加就可以查看哪些進(jìn)程打開了這個(gè)文件，下面的命令查詢打開了 /bin/bash 文件的進(jìn)程：

$ sudo lsof /bin/bash

除了普通文件，也可以是設(shè)備等文件(下面命令的輸出很長，圖示只是截取的一小部分)：

$ sudo lsof /dev/sda1

查看哪些進(jìn)程打開了某個(gè)目錄及目錄下的文件

這里分兩種情況，+d 選項(xiàng)不執(zhí)行遞歸查詢，只查找那些打開了指定目錄以及指定目錄下文件和目錄的進(jìn)程，比如：

$ sudo lsof +d /var/log

而 +D 選項(xiàng)則會(huì)對指定的目錄進(jìn)行遞歸：

$ sudo lsof +D /var/log

在卸載文件系統(tǒng)時(shí)，如果有進(jìn)程打開了該文件系統(tǒng)中的文件或目錄，卸載操作就會(huì)失敗。因此最好在卸載文件系統(tǒng)前通過 lsof +D 檢查文件系統(tǒng)的掛載點(diǎn)，殺掉相關(guān)的進(jìn)程然后再執(zhí)行卸載操作。

查看某個(gè)進(jìn)程打開的所有文件

通過 -p 選項(xiàng)并指定進(jìn)程的 PID 可以輸出該進(jìn)程打開的所有文件。比如我們想要查看 cron 程序打開的文件，可以先用 ps -C cron 命令查出進(jìn)程的 PID：

然后把該 PID 傳遞給 lsof 命令的 -p 選項(xiàng)：

$ sudo lsof -p 1152

組合多個(gè)選項(xiàng)

如果為 lsof 命令指定多個(gè)選項(xiàng)，這些選項(xiàng)間默認(rèn)是或的關(guān)系。也就是說滿足任何一個(gè)選項(xiàng)的結(jié)果都會(huì)被輸出。可以添加額外的 -a 選項(xiàng)，它的作用就是讓其它選項(xiàng)之間的關(guān)系變?yōu)榕c，比如下面的命令：

$ sudo lsof -a -p $$ -d0,1,2

其中的 -p 選項(xiàng)指定了當(dāng)前進(jìn)程的 PID，而 -d 選項(xiàng)則用來指定進(jìn)程打開的文件描述符(可以通過逗號分隔多個(gè)文件描述符)。添加 -a 選項(xiàng)后，結(jié)果輸出為當(dāng)前進(jìn)程打開的文件描述符為 0、1、2 的文件。
說明，-a 選項(xiàng)的使用有很多條件，具體請參考 lsof man page。

查看指定名稱的程序打開的文件

通過 -c 選項(xiàng)可以匹配進(jìn)程運(yùn)行的程序(可執(zhí)行文件)名稱。比如我們要查找以字母 cr 開頭的程序打開的文件列表：

$ sudo lsof -c cr

還可以同時(shí)指定多個(gè) -c 選項(xiàng)，它們之間是或的關(guān)系。
如果想對 -c 選項(xiàng)的條件取反，只要在字符串前添加符號 ^ 就可以了，比如：

$ sudo lsof -c ^cr

-c 選項(xiàng)也支持正則表達(dá)式，比如下面的命令可以過濾出以 cra 和 cro 開頭的程序打開的文件：

$ sudo lsof -c /cr[ao]/

查看被打開的與網(wǎng)絡(luò)相關(guān)的文件

-i 選項(xiàng)用來查看被打開的和網(wǎng)絡(luò)相關(guān)的文件，其參數(shù)的格式如下：
[46][protocol][@hostname|hostaddr][:service|port]
46 表示 IP 協(xié)議的版本
protocol 表示網(wǎng)絡(luò)協(xié)議的名稱，比如 TCP 或 UDP
hostname 或 hostaddr 表示主機(jī)地址
service 指 /etc/services 中的名稱，比如 smtp 或多個(gè)服務(wù)的列表
port 表示端口號，可以指定一個(gè)或多個(gè)

-i 選項(xiàng)默認(rèn)會(huì)同時(shí)輸出 IPv4 和 IPv6 打開的文件：

$ sudo lsof -i

只列出 IPv4 或 IPv6 打開的文件

$ sudo lsof -i 4
$ sudo lsof -i 6

列出與 22 號端口相關(guān)的文件

$ sudo lsof -i:22

列出指定范圍內(nèi)被打開的 TCP 端口

$ sudo -i TCP:1-1024

查看被打開的 UNIX domain socket 文件

-U 選項(xiàng)輸出打開的 UNIX domain socket 文件，這里我們結(jié)合 -c 選項(xiàng)來查看 ssh 服務(wù)打開的 UNIX domain socket 文件：

$ sudo lsof -a -c sshd -U

查看某個(gè)用戶打開的所有文件

-u 選項(xiàng)可以指定用戶名或 user ID，并且和 -c 選項(xiàng)一樣，可以通過逗號分隔多個(gè)用戶名稱或 user ID，也可以通過符號 ^ 對條件取反。
查看某個(gè)用戶打開的所有文件

$ sudo lsof -u syslog

查看用戶 nick 打開的網(wǎng)絡(luò)相關(guān)的文件

$ sudo lsof -a -i -u nick

排除某個(gè)用戶

$ sudo lsof -i -u ^nick

注意：在有排除條件時(shí)，不需要指定 -a 選項(xiàng)。

殺掉某個(gè)用戶打開了文件的所有進(jìn)程

$ kill -9 $(lsof -t -u nick)

該命令中的 -t 選項(xiàng)讓 lsof 命令只輸出進(jìn)程的 PID：

統(tǒng)計(jì)系統(tǒng)打開的文件總數(shù)

$ sudo lsof -P -n | wc -l

命令中的 -P 選項(xiàng)表示不解析端口號，-n 選項(xiàng)表示不解析主機(jī)名，這兩個(gè)選項(xiàng)主要的目的是為了提升 lsof 命令的執(zhí)行速度。wc -l 命令則用來統(tǒng)計(jì) lsof 命令輸出的行數(shù)。

恢復(fù)刪除的文件

如果我們一不小心刪除了文件，而又知道這個(gè)文本被某個(gè)進(jìn)程打開著，就可以通過 lsof 命令來恢復(fù)該文件。具體的原理為：
當(dāng)進(jìn)程打開了某個(gè)文件時(shí)，只要該進(jìn)程保持打開該文件，即使將文件刪除，它依然存在于磁盤中。進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以通過打開該文件時(shí)提供給它的文件描述符進(jìn)行讀取和寫入。除了該進(jìn)程之外，這個(gè)文件是不可見的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn)。

進(jìn)程打開的文件描述符就存放在 /proc/PID/fd 目錄下。/proc 目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當(dāng)我們對這些文件進(jìn)行讀取和寫入時(shí)，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息。lsof 程序就是使用這些信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來產(chǎn)生其輸出。所以 lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息。也就是說我們通過訪問進(jìn)程的文件描述符可以找到該文件的相關(guān)信息。

下面的 demo 演示如何通過 lsof 命令恢復(fù)被誤刪的 /var/log/syslog 文件。

先刪除日志文件 /var/log/syslog，記著要提前備份一下這個(gè)文件，以防萬一：

$ sudo rm /var/log/syslog

從上面的信息可以看到 PID 為 1141 的進(jìn)程打開著該文件，文件描述符為 7，并且顯示該文件已經(jīng)被刪除了。接下來我們通過 1141 號進(jìn)程的文件文件描述符來查看該文件的內(nèi)容：

$ sudo tail -n 5 /proc/1141/fd/7

上圖說明文件 /var/log/syslog 文件的內(nèi)容還在，并且可以通過文件描述符訪問，接下來通過 IO 重定向的方式重新創(chuàng)建 /var/log/syslog 文件就可以了：

$ sudo sh -c 'cat /proc/1141/fd/7 > /var/log/syslog'

然后修復(fù)文件的權(quán)限屬性并重啟 rsyslog 服務(wù)：

$ sudo chown syslog:adm /var/log/syslog
$ sudo systemctl restart rsyslog.service

這樣就完成了 /var/log/syslog 文件的恢復(fù)工作。對于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫文件，都可以通過這種方式來恢復(fù)。

幫助

-h 選項(xiàng)會(huì)輸出 lsof 命令的幫助信息：

估計(jì)這樣的幫助信息也只能逼著你去讀 man page 了！

總結(jié)

lsof 并不是一個(gè)簡單的命令，從其 man page 的長度就可以體會(huì)到這一點(diǎn)。從本文介紹的小 demo 入手或許可以讓你忘記冗長的文檔說明，一步步的開始使用并最終掌握這個(gè)命令。

以上詳解Linux lsof命令使用就是小編為大家收集整理的全部內(nèi)容了，希望對大家有所幫助。如果您喜歡這篇文章，可以收藏或分享給您的小伙伴們吧！歡迎持續(xù)關(guān)注我們的后續(xù)更新。