lsof(list open files)是一個(gè)查看進(jìn)程打開的文件的工具。
在 linux 系統(tǒng)中，一切皆文件。通過文件不僅僅可以訪問常規(guī)數(shù)據(jù)，還可以訪問網(wǎng)絡(luò)連接和硬件。所以 lsof 命令不僅可以查看進(jìn)程打開的文件、目錄，還可以查看進(jìn)程監(jiān)聽的端口等 socket 相關(guān)的信息。本文將介紹 lsof 命令的基本用法，本文中 demo 的演示環(huán)境為 ubuntu 18.04。
常用選項(xiàng)
-a 指示其它選項(xiàng)之間為與的關(guān)系
-c <進(jìn)程名> 輸出指定進(jìn)程所打開的文件
-d <文件描述符> 列出占用該文件號(hào)的進(jìn)程
+d <目錄> 輸出目錄及目錄下被打開的文件和目錄(不遞歸)
+D <目錄> 遞歸輸出及目錄下被打開的文件和目錄
-i <條件> 輸出符合條件與網(wǎng)絡(luò)相關(guān)的文件
-n 不解析主機(jī)名
-p <進(jìn)程號(hào)> 輸出指定 PID 的進(jìn)程所打開的文件
-P 不解析端口號(hào)
-t 只輸出 PID
-u 輸出指定用戶打開的文件
-U 輸出打開的 UNIX domain socket 文件
-h 顯示幫助信息
-v 顯示版本信息
基本輸出
如果不帶任何選項(xiàng)執(zhí)行 lsof 命令，會(huì)輸出系統(tǒng)中所有 active 進(jìn)程打開的所有文件，結(jié)果就是我們被輸出的信息所淹沒，這沒有任何的意義。我們先讓 lsof 命令輸出當(dāng)前 Bash 進(jìn)程打開的文件，并截取其中的一部分結(jié)果來介紹輸出內(nèi)容中都包含哪些信息：
COMMAND：程序的名稱
PID：進(jìn)程標(biāo)識(shí)符
USER：進(jìn)程所有者
FD：文件描述符，應(yīng)用程序通過文件描述符識(shí)別該文件
TYPE：文件類型，如 DIR、REG 等
DEVICE：以逗號(hào)分隔設(shè)備編號(hào)
SIZE：文件的大小(bytes)
NODE：索引節(jié)點(diǎn)(文件在磁盤上的標(biāo)識(shí))
NAME：打開文件的確切名稱
下面簡單介紹一下 FD 列和 TYPE 列中的常見內(nèi)容。
FD 列中的常見內(nèi)容有 cwd、rtd、txt、mem 和一些數(shù)字等等。其中 cwd 表示當(dāng)前的工作目錄；rtd 表示根目錄；txt 表示程序的可執(zhí)行文件；mem 表示內(nèi)存映射文件：
還有一部分 FD 是以數(shù)字表示的，比如標(biāo)準(zhǔn)輸入輸出文件：
數(shù)字后面的字母表示進(jìn)程對(duì)該文件的讀寫模式，比如上圖中的 u 表示該文件被打開并處于讀取/寫入模式。除了 u，還有 r 表示只讀模式，w 表示只寫模式，還可以同時(shí)應(yīng)用 W 表示該進(jìn)程擁有對(duì)文件寫操作的鎖。下圖是截取的 docker daemon 進(jìn)程打開的文件列表，其中顯示了 FD 的不同模式：
TYPE 列中常見的 REG 和 DIR 分別表示普通文件和目錄。而 CHR 和 BLK 則分別表示字符和塊設(shè)備，unix、fifo 和 IPv4/IPv6 分別表示 UNIX domain 套接字、先進(jìn)先出(FIFO)隊(duì)列和 IPv4/IPv6 套接字。
下面我們來介紹一些 lsof 命令的常見用法。
查看哪些進(jìn)程打開了某個(gè)文件
直接指定文件的名稱作為 lsof 的參加就可以查看哪些進(jìn)程打開了這個(gè)文件，下面的命令查詢打開了 /bin/bash 文件的進(jìn)程：
除了普通文件，也可以是設(shè)備等文件(下面命令的輸出很長，圖示只是截取的一小部分)：
查看哪些進(jìn)程打開了某個(gè)目錄及目錄下的文件
這里分兩種情況，+d 選項(xiàng)不執(zhí)行遞歸查詢，只查找那些打開了指定目錄以及指定目錄下文件和目錄的進(jìn)程，比如：
而 +D 選項(xiàng)則會(huì)對(duì)指定的目錄進(jìn)行遞歸：
在卸載文件系統(tǒng)時(shí)，如果有進(jìn)程打開了該文件系統(tǒng)中的文件或目錄，卸載操作就會(huì)失敗。因此最好在卸載文件系統(tǒng)前通過 lsof +D 檢查文件系統(tǒng)的掛載點(diǎn)，殺掉相關(guān)的進(jìn)程然后再執(zhí)行卸載操作。
查看某個(gè)進(jìn)程打開的所有文件
通過 -p 選項(xiàng)并指定進(jìn)程的 PID 可以輸出該進(jìn)程打開的所有文件。比如我們想要查看 cron 程序打開的文件，可以先用 ps -C cron 命令查出進(jìn)程的 PID：
然后把該 PID 傳遞給 lsof 命令的 -p 選項(xiàng)：
組合多個(gè)選項(xiàng)
如果為 lsof 命令指定多個(gè)選項(xiàng)，這些選項(xiàng)間默認(rèn)是或的關(guān)系。也就是說滿足任何一個(gè)選項(xiàng)的結(jié)果都會(huì)被輸出?？梢蕴砑宇~外的 -a 選項(xiàng)，它的作用就是讓其它選項(xiàng)之間的關(guān)系變?yōu)榕c，比如下面的命令：
$ sudo lsof -a -p $$ -d0,1,2
其中的 -p 選項(xiàng)指定了當(dāng)前進(jìn)程的 PID，而 -d 選項(xiàng)則用來指定進(jìn)程打開的文件描述符(可以通過逗號(hào)分隔多個(gè)文件描述符)。添加 -a 選項(xiàng)后，結(jié)果輸出為當(dāng)前進(jìn)程打開的文件描述符為 0、1、2 的文件。
說明，-a 選項(xiàng)的使用有很多條件，具體請(qǐng)參考 lsof man page。
查看指定名稱的程序打開的文件
通過 -c 選項(xiàng)可以匹配進(jìn)程運(yùn)行的程序(可執(zhí)行文件)名稱。比如我們要查找以字母 cr 開頭的程序打開的文件列表：
還可以同時(shí)指定多個(gè) -c 選項(xiàng)，它們之間是或的關(guān)系。
如果想對(duì) -c 選項(xiàng)的條件取反，只要在字符串前添加符號(hào) ^ 就可以了，比如：
-c 選項(xiàng)也支持正則表達(dá)式，比如下面的命令可以過濾出以 cra 和 cro 開頭的程序打開的文件：
查看被打開的與網(wǎng)絡(luò)相關(guān)的文件
-i 選項(xiàng)用來查看被打開的和網(wǎng)絡(luò)相關(guān)的文件，其參數(shù)的格式如下：
[46][protocol][@hostname|hostaddr][:service|port]
46 表示 IP 協(xié)議的版本
protocol 表示網(wǎng)絡(luò)協(xié)議的名稱，比如 TCP 或 UDP
hostname 或 hostaddr 表示主機(jī)地址
service 指 /etc/services 中的名稱，比如 smtp 或多個(gè)服務(wù)的列表
port 表示端口號(hào)，可以指定一個(gè)或多個(gè)
-i 選項(xiàng)默認(rèn)會(huì)同時(shí)輸出 IPv4 和 IPv6 打開的文件：
只列出 IPv4 或 IPv6 打開的文件
$ sudo lsof -i 4
$ sudo lsof -i 6
列出與 22 號(hào)端口相關(guān)的文件
列出指定范圍內(nèi)被打開的 TCP 端口
查看被打開的 UNIX domain socket 文件
-U 選項(xiàng)輸出打開的 UNIX domain socket 文件，這里我們結(jié)合 -c 選項(xiàng)來查看 ssh 服務(wù)打開的 UNIX domain socket 文件：
$ sudo lsof -a -c sshd -U
查看某個(gè)用戶打開的所有文件
-u 選項(xiàng)可以指定用戶名或 user ID，并且和 -c 選項(xiàng)一樣，可以通過逗號(hào)分隔多個(gè)用戶名稱或 user ID，也可以通過符號(hào) ^ 對(duì)條件取反。
查看某個(gè)用戶打開的所有文件
查看用戶 nick 打開的網(wǎng)絡(luò)相關(guān)的文件
$ sudo lsof -a -i -u nick
排除某個(gè)用戶
注意：在有排除條件時(shí)，不需要指定 -a 選項(xiàng)。
殺掉某個(gè)用戶打開了文件的所有進(jìn)程
$ kill -9 $(lsof -t -u nick)
該命令中的 -t 選項(xiàng)讓 lsof 命令只輸出進(jìn)程的 PID：
統(tǒng)計(jì)系統(tǒng)打開的文件總數(shù)
$ sudo lsof -P -n | wc -l
命令中的 -P 選項(xiàng)表示不解析端口號(hào)，-n 選項(xiàng)表示不解析主機(jī)名，這兩個(gè)選項(xiàng)主要的目的是為了提升 lsof 命令的執(zhí)行速度。wc -l 命令則用來統(tǒng)計(jì) lsof 命令輸出的行數(shù)。
恢復(fù)刪除的文件
如果我們一不小心刪除了文件，而又知道這個(gè)文本被某個(gè)進(jìn)程打開著，就可以通過 lsof 命令來恢復(fù)該文件。具體的原理為：
當(dāng)進(jìn)程打開了某個(gè)文件時(shí)，只要該進(jìn)程保持打開該文件，即使將文件刪除，它依然存在于磁盤中。進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以通過打開該文件時(shí)提供給它的文件描述符進(jìn)行讀取和寫入。除了該進(jìn)程之外，這個(gè)文件是不可見的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn)。
進(jìn)程打開的文件描述符就存放在 /proc/PID/fd 目錄下。/proc 目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當(dāng)我們對(duì)這些文件進(jìn)行讀取和寫入時(shí)，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息。lsof 程序就是使用這些信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來產(chǎn)生其輸出。所以 lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息。也就是說我們通過訪問進(jìn)程的文件描述符可以找到該文件的相關(guān)信息。
下面的 demo 演示如何通過 lsof 命令恢復(fù)被誤刪的 /var/log/syslog 文件。
先刪除日志文件 /var/log/syslog，記著要提前備份一下這個(gè)文件，以防萬一：
$ sudo rm /var/log/syslog
從上面的信息可以看到 PID 為 1141 的進(jìn)程打開著該文件，文件描述符為 7，并且顯示該文件已經(jīng)被刪除了。接下來我們通過 1141 號(hào)進(jìn)程的文件文件描述符來查看該文件的內(nèi)容：
$ sudo tail -n 5 /proc/1141/fd/7
上圖說明文件 /var/log/syslog 文件的內(nèi)容還在，并且可以通過文件描述符訪問，接下來通過 IO 重定向的方式重新創(chuàng)建 /var/log/syslog 文件就可以了：
$ sudo sh -c 'cat /proc/1141/fd/7 > /var/log/syslog'
然后修復(fù)文件的權(quán)限屬性并重啟 rsyslog 服務(wù)：
$ sudo chown syslog:adm /var/log/syslog
$ sudo systemctl restart rsyslog.service
這樣就完成了 /var/log/syslog 文件的恢復(fù)工作。對(duì)于許多應(yīng)用程序，尤其是日志文件和數(shù)據(jù)庫文件，都可以通過這種方式來恢復(fù)。
幫助
-h 選項(xiàng)會(huì)輸出 lsof 命令的幫助信息：
估計(jì)這樣的幫助信息也只能逼著你去讀 man page 了！
總結(jié)
lsof 并不是一個(gè)簡單的命令，從其 man page 的長度就可以體會(huì)到這一點(diǎn)。從本文介紹的小 demo 入手或許可以讓你忘記冗長的文檔說明，一步步的開始使用并最終掌握這個(gè)命令。
參考：
lsof man page
linux lsof命令詳解
10 lsof Command Examples in Linux
Linux lsof Command Tutorial for Beginners (10 Examples)
15 Linux lsof Command Examples (Identify Open Files)
以上就是本文的全部內(nèi)容，希望對(duì)大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。
