lsof命令

lsof命令用于查看你進程開打的文件，打開文件的進程，進程打開的端口(TCP、UDP)。找回/恢復刪除的文件。是十分方便的系統(tǒng)監(jiān)視工具，因為lsof命令需要訪問核心內存和各種文件，所以需要root用戶執(zhí)行。

在linux環(huán)境下，任何事物都以文件的形式存在，通過文件不僅僅可以訪問常規(guī)數(shù)據(jù)，還可以訪問網(wǎng)絡連接和硬件。所以如傳輸控制協(xié)議 (TCP) 和用戶數(shù)據(jù)報協(xié)議 (UDP) 套接字等，系統(tǒng)在后臺都為該應用程序分配了一個文件描述符，無論這個文件的本質如何，該文件描述符為應用程序與基礎操作系統(tǒng)之間的交互提供了通用接口。因為應用程序打開文件的描述符列表提供了大量關于這個應用程序本身的信息，因此通過lsof工具能夠查看這個列表對系統(tǒng)監(jiān)測以及排錯將是很有幫助的。

語法

lsof(選項)

參數(shù)

      -a：列出打開文件存在的進程；

      -c<進程名>：列出指定進程所打開的文件；

      -g：列出GID號進程詳情；

      -d<文件號>：列出占用該文件號的進程；

      +d<目錄>：列出目錄下被打開的文件；

      +D<目錄>：遞歸列出目錄下被打開的文件；

      -n<目錄>：列出使用NFS的文件；

      -i<條件>：列出符合條件的進程。（4、6、協(xié)議、:端口、 @ip ）

      -p<進程號>：列出指定進程號所打開的文件；

      -u：列出UID號進程詳情；

      -h：顯示幫助信息；

      -v：顯示版本信息。

使用

查看

lsof -i :（端口） 查看這個端口有那些進程在訪問，比如22端口

shell> lsof -i:22COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAMEsshd  1939 root 3u IPv4 12317  0t0 TCP *:ssh (LISTEN)sshd  1939 root 4u IPv6 12321  0t0 TCP *:ssh (LISTEN)sshd  2790 root 3u IPv4 15229  0t0 TCP 192.168.178.128:ssh->192.168.178.1:64601 (ESTABLISHED)sshd  2824 root 3u IPv4 15528  0t0 TCP 192.168.178.128:ssh->192.168.178.1:64673 (ESTABLISHED)sshd  2990 root 3u IPv4 15984  0t0 TCP 192.168.178.128:ssh->192.168.178.1:64686 (ESTABLISHED)sshd 14695 root 3u IPv4 39558  0t0 TCP 192.168.178.128:ssh->192.168.178.1:49662 (ESTABLISHED)

lsof輸出各列信息的意義如下：

恢復文件

利用lsof可以恢復一些系統(tǒng)日志，前提是這個進程必須存在。這里就拿最常用的/var/log/messages來舉例說明，大家在做測試的時候最好先備份一下。

#備份shell> cp /var/log/message /var/log/message_bachttp://embeddedlinux.org.cn/shell> lsof |grep /var/log/messagersyslogd 1737  root 1w  REG    8,2 5716123  652638 /var/log/messages