Linux 系统监控诊断命令—lsof

Posted 2020-08-25

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Linux 系统监控诊断命令—lsof相关的知识，希望对你有一定的参考价值。

lsof命令

lsof(list open files)是一个列出当前系统打开文件的工具。系统在后台为应用程序分配了独立的文件

描述符，该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口，描述符提供了大量关于

这个应用程序本身的信息，通过lsof命令能够查看这个列表，常常用于对系统监测诊断排错

[[email protected]~]# lsof

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME

init 1 root cwd DIR 6,1 5069 2 /

init 1 root rtd DIR 6,1 5069 2 /

init 1 root txt REG 6,1 1235602 54127 /sbin/init

udevd 235 root 0u CHR 1,5 0t0 6862 /dev/null

udevd 235 root 1u CHR 1,5 0t0 6862 /dev/null

udevd 235 root 2u CHR 1,5 0t0 6862 /dev/null

COMMAND：进程的名称

PID：进程标识符

USER：进程所有者

FD：文件描述符，应用程序通过文件描述符识别该文件

TYPE：文件类型，如DIR、REG等

DEVICE：指定磁盘的名称

SIZE：文件的大小

NODE：索引节点（文件在磁盘上的标识）

NAME：打开文件的确切名称

常用参数

常用的参数列表：
lsof filename 显示打开指定文件的所有进程

    lsof -a         表示多条件查询都满足时才显示结果
    lsof -c string    显示COMMAND列中包含指定字符的进程所有打开的文件
    lsof -u username    显示所属user进程打开的文件
    lsof -g gid       显示归属gid的进程情况
    lsof +d /DIR/      显示目录下被进程打开的文件
    lsof -d FD       显示指定文件描述符的进程
    lsof -n         不将IP转换为hostname，缺省是不加上-n参数
    lsof -i         用以显示符合条件的进程情况

lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
46 --> IPv4 or IPv6
protocol --> TCP or UDP
hostname --> Internet host name
hostaddr --> IPv4地址
service --> /etc/service中的 service name (可以多个)
port --> 端口号 (可以多个)

应用实例

lsof `which httpd`     那个进程在使用httpd的可执行文件
lsof /etc/passwd    那个进程在占用/etc/passwd
lsof /dev/sdb2 那个进程在占用sdb2
lsof /dev/cdrom 那个进程在占用光驱
lsof -c sendmail 查看sendmail进程的文件使用情况
lsof -c courier -u ^root 显示出那些文件被以courier打头的进程打开，但是并不属于用户root
lsof -p 30297    显示那些文件被pid为30297的进程打开

lsof -utom 查看用户tom的进程的文件使用情况

lsof -i 显示所有打开的端口
lsof -i:80 显示所有打开80端口的进程

用lsof查找恢复被误删的文件

当某个文件被意外地删除了，只要系统中还有进程正在访问该文件，就可以通过lsof从/proc目录下恢复该文件的内容

假如将/var/logs/messages文件误删了，文件恢复的方法如下：

首先使用lsof来查看当前是否有进程打开/var/logs/messages文件
[[email protected]~]# lsof |grep /var/logs/messages

syslogd 1693 root 3w REG 3,3 5896712 1283685 /var/logs/messages (deleted)

从上面的信息可以看到 PID 1693（syslogd）打开文件的文件描述符为3,找到/var/logs/messages已经

标记被删除了。因此我们可以在 /proc/1693/fd/3 （fd下的每个以数字命名的文件表示进程对应的文件

描述符）中查看相应的信息
[[email protected]~]# head -n 10 /proc/1693/fd/3

Aug 4 13:50:15 holmes86 syslogd 1.4.1: restart.

Aug 4 13:50:15 holmes86 kernel: klogd 1.4.1, log source = /proc/kmsg started.