Linux工具-lsof | HoleLin's Blog

参考文献

https://wangchujiang.com/linux-command/c/lsof.html

`lsof`

lsof命令 用于查看你进程打开的文件,打开文件的进程,进程打开的端口(TCP、UDP).找回/恢复删除的文件.是十分方便的系统监视工具,因为lsof命令需要访问核心内存和各种文件,所以需要root用户执行.
在Linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过sof工具能够查看这个列表对系统监测以及排错将是很有帮助的.

基础用法

lsof [选项]
lsof 4.89
 latest revision: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/
 latest FAQ: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/FAQ
 latest man page: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/lsof_man
 usage: [-?abhKlnNoOPRtUvVX] [+|-c c] [+|-d s] [+D D] [+|-E] [+|-e s] [+|-f[gG]]
 [-F [f]] [-g [s]] [-i [i]] [+|-L [l]] [+m [m]] [+|-M] [-o [o]] [-p s]
 [+|-r [t]] [-s [p:s]] [-S [t]] [-T [t]] [-u s] [+|-w] [-x [fl]] [--] [names]
Defaults in parentheses; comma-separated set (s) items; dash-separated ranges.
  -?|-h list help          -a AND selections (OR)     -b avoid kernel blocks
  -c c  cmd c ^c /c/[bix]  +c w  COMMAND width (9)    +d s  dir s files
  -d s  select by FD set   +D D  dir D tree *SLOW?*   +|-e s  exempt s *RISKY*
  -i select IPv[46] files  -K list tasKs (threads)    -l list UID numbers
  -n no host names         -N select NFS files        -o list file offset
  -O no overhead *RISKY*   -P no port names           -R list paRent PID
  -s list file size        -t terse listing           -T disable TCP/TPI info
  -U select Unix socket    -v list version info       -V verbose search
  +|-w  Warnings (+)       -X skip TCP&UDP* files     -Z Z  context [Z]
  -- end option scan
  -E display endpoint info              +E display endpoint info and files
  +f|-f  +filesystem or -file names     +|-f[gG] flaGs
  -F [f] select fields; -F? for help
  +|-L [l] list (+) suppress (-) link counts < l (0 = all; default = 0)
                                        +m [m] use|create mount supplement
  +|-M   portMap registration (-)       -o o   o 0t offset digits (8)
  -p s   exclude(^)|select PIDs         -S [t] t second stat timeout (15)
  -T qs TCP/TPI Q,St (s) info
  -g [s] exclude(^)|select and print process group IDs
  -i i   select by IPv[46] address: [46][proto][@host|addr][:svc_list|port_list]
  +|-r [t[m<fmt>]] repeat every t seconds (15);  + until no files, - forever.
       An optional suffix to t is m<fmt>; m must separate t from <fmt> and
      <fmt> is an strftime(3) format for the marker line.
  -s p:s  exclude(^)|select protocol (p = TCP|UDP) states by name(s).
  -u s   exclude(^)|select login|UID set s
  -x [fl] cross over +d|+D File systems or symbolic Links
  names  select named files or files on named file systems
Anyone can list all files; /dev warnings disabled; kernel ID check disabled.

-a：列出打开文件存在的进程；
-c<进程名>：列出指定进程所打开的文件；
-g：列出GID号进程详情；
-d<文件号>：列出占用该文件号的进程；
+d<目录>：列出目录下被打开的文件；
+D<目录>：递归列出目录下被打开的文件；
-n<目录>：列出使用NFS的文件；
-i<条件>：列出符合条件的进程（协议、:端口、 @ip ）
-p<进程号>：列出指定进程号所打开的文件；
-u：列出UID号进程详情；
-h：显示帮助信息；
-v：显示版本信息

`lsof`输出各列信息的意义

标识	说明
`COMMAND`	进程的名称
`PID`	进程标识符
`PPID`	父进程标识符（需要指定-R参数）
`USER`	进程所有者
`PGID`	进程所属组
`FD`	文件描述符,应用程序通过它识别该文件

文件描述符列表

标识	说明
`cwd`	表示当前工作目录,即：应用程序的当前工作目录,这是该应用程序启动的目录,除非它本身对这个目录进行更改
`txt`	该类型的文件是程序代码,如应用程序二进制文件本身或共享库,如上列表中显示的 /sbin/init 程序
`lnn`	库引用 (AIX);
`er`	FD 信息错误（参见名称栏）
`jld`	jail 目录 (FreeBSD);
`ltx`	共享库文本（代码和数据）
`mxx`	十六进制内存映射类型编号xx
`m86`	DOS合并映射文件
`mem`	内存映射文件
`mmap`	内存映射设备
`pd`	父目录
`rtd`	根目录
`tr`	内核跟踪文件 (OpenBSD)
`v86`	VP/ix 映射文件
`0`	表示标准输出
`1`	表示标准输入
`2`	表示标准错误

一般在标准输出、标准错误、标准输入后还跟着文件状态模式：

标识	说明
`u`	表示该文件被打开并处于读取/写入模式
`r`	表示该文件被打开并处于只读模式
`w`	表示该文件被打开并处于写入模式
`空格`	表示该文件的状态模式为 unknow,且没有锁定
`-`	表示该文件的状态模式为 unknow,且被锁定

同时在文件状态模式后面,还跟着相关的锁：

标识	说明
`N`	对于未知类型的Solaris NFS锁
`r`	用于部分文件的读取锁定
`R`	对整个文件进行读取锁定
`w`	对文件的一部分进行写锁定(文件的部分写锁)
`W`	对整个文件进行写锁定(整个文件的写锁)
`u`	用于任何长度的读写锁
`U`	对于未知类型的锁
`x`	对于文件部分的SCO OpenServer Xenix锁
`X`	对于整个文件的SCO OpenServer Xenix锁
`space`	如果没有锁

文件类型

标识	说明
`DIR`	表示目录
`CHR`	表示字符类型
`BLK`	块设备类型
`UNIX`	UNIX 域套接字
`FIFO`	先进先出 (FIFO) 队列
`IPv4`	网际协议 (IP) 套接字
`DEVICE`	指定磁盘的名称
`SIZE`	文件的大小
`NODE`	索引节点（文件在磁盘上的标识）
`NAME`	打开文件的确切名称
`REG`	常规文件

示例

进程相关

查找某个文件相关的进程

lsof /bin/bash
COMMAND     PID       USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
bash    3043939 xxx txt    REG  252,1  1183448 655541 /usr/bin/bash
bash    3061467 xxxx txt    REG  252,1  1183448 655541 /usr/bin/bash

列出某个用户打开的文件信息
1
lsof -u username
列出某个进程所打开的文件信息
1
lsof -c docker
列出某个用户以及某个进程所打开的文件信息
1
lsof -u test -c docker
通过某个进程号显示该进程打开的文件
1
lsof -p $PID
根据文件描述列出对应的文件信息
1
lsof -d 3 | grep PARSER1
- 说明: 0表示标准输入,1表示标准输出,2表示标准错误,从而可知:所以大多数应用程序所打开的文件的 FD 都是从 3 开始
查看正在使用某个目录的进程
1
lsof +D /path/to/directory
显示归属gid的进程情况
1
lsof -g gid

网络相关

实时查看本机网络服务的活动状态
1
lsof -i
列出所有tcp 网络连接信息
1
lsof -i tcp
列出谁在使用某个端口
1
lsof -i :8080
列出某个用户的所有活跃的网络端口
1
lsof -a -u test -i

获取端口对应的进程ID=>PID

1
2
3

# lsof -i :8090 -P -t -sTCP:LISTEN
6999
7006

参考文献

lsof

基础用法

lsof输出各列信息的意义

文件描述符列表

文件类型

示例

进程相关

网络相关

`lsof`

`lsof`输出各列信息的意义